Nginx 添加 Content-Security-Policy

之前在 /t/297580 这个帖子问过，如果网站并没有开启 https ， css 和 js 都是 https ，那么问题来了，会不会被劫持插一些恶心的东西？然后 @ZE3kr 这位朋友说可以使用 Content-Security-Policy ，我今天发现我的站，在 Mac 表示没有被插入东西，然后在 Windows 下发现被插入了一条<script async src="http://c.cnzz.com/core.php"></script>（两个平台使用的浏览器都是 Chrome ），我在 Nginx server 段添加了 Content-Security-Policy ，我也不知道对不对，麻烦懂的朋友给看下吧。

打码部分是域名。