短.be内容安全策略（Content Security Policy，简称 CSP）是一种强大的 Web 安全防御机制，通过服务器发送的 HTTP 响应头声明页面允许加载各类资源的合法来源白名单，从而有效防御跨站脚本攻击（XSS）、数据注入攻击和点击劫持等常见 Web 安全威胁。
CSP 通过 Content-Security-Policy 响应头定义一系列细粒度的资源加载指令：script-src 控制 JavaScript 脚本的合法来源、style-src 控制样式表来源、img-src 控制图片来源、connect-src 控制 AJAX/WebSocket 请求的目标域名、frame-ancestors 防止页面被嵌入恶意 iframe 等。在强制执行模式下，违反策略的资源加载尝试会被浏览器阻止并在控制台报告。
短链接服务需要在多个层面精心配置 CSP 策略：重定向中间页面应设置最严格的 CSP（禁止所有外部脚本和样式）以防止注入攻击篡改跳转目标；链接管理后台需要允许必要的分析脚本和 UI 框架资源；公开的链接预览页面需要平衡安全性与功能展示需求。report-to 指令可以将违规事件上报到安全监控系统；为兼容尚未支持该指令的浏览器，可同时保留已不推荐使用的 report-uri。
对于通过短链接分发的营销落地页，CSP 配置需要在安全防护与业务功能之间找到平衡点。过于严格的策略可能阻止合法的第三方追踪脚本、广告代码和社交分享组件的正常加载。建议先部署 Content-Security-Policy-Report-Only 模式收集违规报告，充分评估影响后再切换为强制执行模式。