[260902] TIL

Today I Learned (2026-09-02)

CSP (Content Security Policy)

• CSP는 페이지에서 어떤 출처의 스크립트·스타일·이미지를 허용하고 차단할지 정하는 보안 규칙이다. 응답 헤더로 내려 주며, XSS 피해를 줄이는 데 효과적이다.
• Content-Security-Policy-Report-Only는 실제로 차단하지 않고 위반 사항만 기록한다. 규칙을 바로 켜면 정상 리소스까지 막힐 수 있어서, Report-Only로 먼저 관찰한 다음 강제 모드로 바꾸는 게 안전하다.