- Report-Only
- Content-Security-Policy
- 找到主机或 CDN 设置响应头的位置，或在服务器设置中添加。
- 从低风险的开始：把 X-Content-Type-Options 设为 nosniff，并设置 X-Frame-Options 或 frame-ancestors。只有在全站 HTTPS 正常后才添加 Strict-Transport-Security。
- 先以 Report-Only 模式添加 Content Security Policy，它会显示将被阻止的内容，而不破坏任何功能。
- 报告没有问题后再正式启用，并测试表单、支付和嵌入内容。
示例
阅读指南发布站点地图和 robots.txtX-Content-Type-Options: nosniff
Content-Security-Policy: frame-ancestors 'self'
Content-Security-Policy-Report-Only: default-src 'self'