Proposal: Add Optional Content-Security-Policy (CSP) Header Support

Hi @AlemTuzlak,

I’d like to contribute to the project by adding support for a default `Content-Security-Policy` (CSP) header — turned **off by default**, but easy to enable when needed.

**What I propose:**

* Add CSP header support with a sensible default policy (e.g., `default-src 'none'`)
* Make it **opt-in** via an env variable or config flag

Happy to follow your preferred coding style or integration pattern. Let me know if you’re open to this — I can start working on a pull request right away.

Thanks!

Duncan

Issue không nêu tên tệp, test hay entry point nào. Trước khi bắt đầu công việc, cần làm rõ policy, cơ chế cấu hình, request path bị ảnh hưởng và các acceptance test; không thể xác định thế nào là hoàn thành dựa trên đề xuất hiện tại.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.