摘要：常用于定義頁面的說明，關(guān)鍵字，最后修改日期，和其它的元數(shù)據(jù)。這些元數(shù)據(jù)將服務(wù)于瀏覽器如何布局或重載頁面，搜索引擎和其它網(wǎng)絡(luò)服務(wù)。安全措施緩存所有響應(yīng)，但并非必須。另一種是通過網(wǎng)頁的標(biāo)簽。該元數(shù)據(jù)名稱與屬性包含的值相關(guān)聯(lián)。

文章同步于Github Pines-Cheng/blog

meta標(biāo)簽是HTML語言HEAD區(qū)的一個輔助性標(biāo)簽。

meta常用于定義頁面的說明，關(guān)鍵字，最后修改日期，和其它的元數(shù)據(jù)。這些元數(shù)據(jù)將服務(wù)于瀏覽器（如何布局或重載頁面），搜索引擎和其它網(wǎng)絡(luò)服務(wù)。

mata 標(biāo)簽包含全局屬性

聲明網(wǎng)頁的字符編碼：

content屬性的內(nèi)容是htp-equiv或name屬性的值，具體取決于你用哪一個。

該屬性可以包含HTTP頭的名稱，屬性的英文全稱為http-equivalent。它定義了可以改變server和user-agent行為的指令。該指令的值在content屬性內(nèi)定義，可以是以下之一：

定義頁面的默認語言。它可以被任何元素上的lang屬性所覆蓋。

禁止瀏覽器從本地計算機的緩存中訪問頁面內(nèi)容。如：

＜meta http-equiv="Pragma" content="no-cache"＞

可以用于設(shè)定網(wǎng)頁的到期時間。一旦網(wǎng)頁過期，必須到服務(wù)器上重新傳輸。

指定請求和響應(yīng)遵循的緩存機制。共有以下幾種用法：

no-cache: 先發(fā)送請求，與服務(wù)器確認該資源是否被更改，如果未被更改，則使用緩存。

no-store: 不允許緩存，每次都要去服務(wù)器上，下載完整的響應(yīng)。（安全措施）

public : 緩存所有響應(yīng)，但并非必須。因為max-age也可以做到相同效果

private : 只為單個用戶緩存，因此不允許任何中繼進行緩存。（比如說CDN就不允許緩存private的響應(yīng)）

max-age : 表示當(dāng)前請求開始，該響應(yīng)在多久內(nèi)能被緩存和重用，而不去服務(wù)器重新請求。例如：max-age=60表示響應(yīng)可以再緩存和重用 60 秒。

允許頁面作者定義當(dāng)前頁面的內(nèi)容策略。內(nèi)容策略主要指定允許的服務(wù)器地址和腳本端點，這有助于防止cross-site scripting 攻擊。

CSP 的實質(zhì)就是白名單制度，開發(fā)者明確告訴客戶端，哪些外部資源可以加載和執(zhí)行，等同于提供白名單。它的實現(xiàn)和執(zhí)行全部由瀏覽器完成，開發(fā)者只需提供配置。

CSP 大大增強了網(wǎng)頁的安全性。攻擊者即使發(fā)現(xiàn)了漏洞，也沒法注入腳本，除非還控制了一臺列入了白名單的可信主機。
兩種方法可以啟用 CSP。一種是通過 HTTP 頭信息的Content-Security-Policy的字段。

Content-Security-Policy: script-src "self"; object-src "none";
style-src cdn.example.org third-party.org; child-src https:

另一種是通過網(wǎng)頁的標(biāo)簽。

上面代碼中，CSP 做了如下配置:

腳本：只信任當(dāng)前域名