HTTP 响应头 Content-Security-Policy 允许站点管理者控制用户代理能够为指定的页面加载哪些资源。除了少数例外情况，设置的政策主要涉及指定服务器的源和脚本结束点。这将帮助防止跨站脚本攻击（Cross-Site Script）

强制使用https

添加代码

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

浏览器兼容

• https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Content-Security-Policy#浏览器兼容性

免费https证书

• 推荐一个免费https证书网站：https://freessl.cn/