用途：在审查响应头、表单、Cookie 或第三方集成时，检查并落地内容安全策略（CSP），以控制页面可加载与执行的资源，降低 XSS、点击劫持和数据注入的攻击面。
主要能力：检查网站是否实现 CSP 头并分析其指令；审查 innerHTML、dangerouslySetInnerHTML、HTML 模板注入等 DOM 注入点；评估大型应用是否启用 Trusted Types 加固。
必要用法：先从 Content-Security-Policy-Report-Only 开始测试，避免直接破坏站点；对未受信任 HTML 在渲染前进行净化；设置严格的 default-src 再按需放行具体来源；内联脚本使用 nonce 或 hash，避免 unsafe-inline；除非绝对必要，避免 unsafe-eval；持续监控 CSP 报告以捕获违规。
适用场景：前端安全检查、代码评审、服务端配置与集成点审查，以及需要验证生产环境响应头与浏览器行为的场景。
限制：CSP 是纵深防御的一层，不能替代输出编码与净化；Trusted Types 适用于有足够 DOM 注入面的应用，需评估收益。更多实现细节与框架指引见 references/rule.md，规则页为 https://frontendchecklist.io/rules/security/content-security-policy。