Content-Security-Policy: script-src 'self'; object-src 'none';
style-src cdn.example.org third-party.org;child-src https:另一种是通过网页的标签。
<meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:">上面代码中，CSP 做了如下配置:
脚本：只信任当前域名
标签：不信任任何URL，即不加载任何资源
样式表：只信任 cdn.example.org和 third-party.org
框架（frame）：必须使用HTTPS协议加载
其他资源：没有限制
启用后，不符合 CSP 的外部资源就会被阻止加载。
更多介绍可见：Content Security Policy 入门教程
content-type（已过时）
定义文档的MIME类型，后跟其字符编码。
不要使用这个值，因为它已经过时了。推荐使用元素上的charset属性。
由于无法在XHTML或HTML5的XHTML序列化中更改文档类型，因此不要使用将MIME类型设置为 XHTML MIME类型。
refresh
该指令指定：
如果content属性只包含一个正整数，则表示该页面重新加载的秒数。
如果content属性包含一个正整数，后跟字符串’; url =’，那么表示当前页面XX秒后重定向到另一个有效的URL。
<meta http-equiv="refresh" content="2；URL=https://www.jb51.net/">
//意思是2秒后跳转到软件开发网set-cookie（已过时）
定义页面的cookie，对应的content值必须遵循IETF HTTP Cookie Specification（https://tools.ietf.org/html/draft-ietf-httpstate-cookie-14）
不要使用这条指令，使用HTTP头的Set-Cookie（https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie）替代
X-UA-Compatible
用于告知浏览器以何种版本来渲染页面。
<meta http-equiv="X-UA-Compatible" content="IE=edge,chrome=1"/>
//指定IE和Chrome使用最新版本渲染当前页面name
name属性的定义是属于 document-level metadata，不能和以下属性同时设置： itemprop, http-equiv 或 charset。
该元数据名称与content属性包含的值相关联。 name属性的可能值为：
application-name
定义在网页中运行的应用程序的名称。
author
用于标注网页作者。
description
包括一个关于页面内容的缩略而精准的描述。一些浏览器，如Firefox和Opera，会使用这个当做网页书签的默认描述。
generator
用于标明网页是什么软件做的。
