CSP（Content Security Policy）

CSPは「どこからのスクリプトを信頼するか」をブラウザに指示するレスポンスヘッダ。 XSSが混入しても、インラインスクリプトの実行をブラウザ側でブロックできる（保険的対策）。

下のコメント欄はわざと生出力（脆弱）。<script>alert(1)</script> や <img src=x onerror=alert(1)> を入れて、CSPのON/OFFで挙動を比べる。