Content Security Policy (CSP) là gì? Các security header quan trọng khác?

Content-Security-Policy:
  default-src 'self';
  script-src 'self' 'nonce-r4nd0m';
  img-src 'self' https: data:;
  object-src 'none'; base-uri 'self'; frame-ancestors 'none'

<script nonce="r4nd0m">/* inline script được phép */</script>

Header	Công dụng
Strict-Transport-Security	Ép HTTPS
X-Content-Type-Options: nosniff	Chặn đoán MIME type
Referrer-Policy	Giới hạn thông tin referrer
Permissions-Policy	Tắt API như camera, geolocation
frame-ancestors (CSP)	Chống clickjacking (thay X-Frame-Options)

• Nonce phải sinh ngẫu nhiên mới cho mỗi response; hash dùng cho script inline cố định.
• strict-dynamic cho phép script tin cậy tự nạp thêm script mà không liệt kê domain.
• Triển khai dần: Content-Security-Policy-Report-Only kèm report-to, quan sát vi phạm rồi mới enforce.