html中内联脚本（如alert(1)或onclick）导致csp难落地，因script-src 'self'默认放行内联脚本，而禁用'unsafe-inline'又会阻断功能；需配合nonce/hash授权合法内联，但静态页、cdn缓存、第三方组件等场景难以动态注入，且'unsafe-inline'在safari 16.4前静默失效、android webview可能跳过整条策略。
HTML结构里有内联脚本，CSP就难落地
只要页面里存在 <script>alert(1)</script> 或 onclick="doSomething()" 这类写法，script-src 'self' 就会直接拦死功能——浏览器根本不执行，用户看到白屏或报错。
- 改代码成本高：每个内联脚本都要抽离成外部文件，还得处理作用域、执行时机、依赖顺序
- 第三方组件常带内联逻辑：比如某些统计 SDK、埋点代码、老版本 jQuery 插件，不改源码就无法适配
-
nonce方案要求服务端每次渲染都注入唯一值，但静态 HTML、CDN 缓存页、预渲染 SSR 页面做不到动态生成 - 用
'unsafe-inline'看似省事，实则等于放弃 XSS 防御主干；Chrome 会接受，Safari 16.4 之前静默丢弃整条策略，Android WebView 可能跳过整条script-src
HTML中混用 <style></style> 和 style="" 会拖慢 CSP 收敛
style-src 'self' 'unsafe-inline' 是常见妥协写法，但它不是“临时方案”，而是把 CSS 注入面完全打开——攻击者可通过 onerror="fetch('/steal?c='+document.cookie)" + 内联样式触发，绕过 JS 执行限制。
anything-to-html
下载
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
-
'unsafe-inline'对style-src的放行，和script-src的放行是解耦的，但实际攻击链中常协同利用 - 抽离内联样式比脚本更隐蔽：
<div style="color:red"> 分布在模板各处，grep 不全，容易漏改 <li>如果用了 CSS-in-JS 库（如 Emotion、Styled Components），默认生成内联 <code><style></style>标签，必须显式配置 nonce 或启用 SSR 支持 - 某些构建工具（如 Vite）开发时自动注入内联样式，上线未关会导致 CSP 报告激增
-
frame-ancestors在<meta>中 Chrome 124+ 已不支持，必须走响应头；且不能设为'self'同时又允许第三方 iframe，二者矛盾 -
<object data="chart.swf"></object>这类旧资源若还存在，object-src设成'none'会中断功能，但设成'self'又可能被恶意 SWF 利用 - 第三方 embed 脚本（如 YouTube、TikTok）通常要求
frame-src（已废弃）或child-src，但现代策略应优先用frame-src兼容旧浏览器，再补child-src - 很多 CMS 输出的富文本含
<iframe></iframe>，后端没清洗就直出，导致 CSP 策略被迫放宽到frame-src *，形同虚设 - 关闭
allowEval后，所有动态绑定需改用data-属性 + 自定义 JS 处理，开发模式陡增 -
inlineScriptNonce必须和服务端生成的 nonce 值严格一致，否则 htmx 的内联<script></script>标签仍被拒 - Alpine.js 的
x-data和x-on:click本质也是内联执行逻辑，不配'unsafe-eval'或不迁移到x-bind+ 外部函数，就会报错 - 这类库的文档常写“支持 CSP”，但实际只覆盖标准场景；一旦用了自定义指令、插件或 SSR 渲染，nonce 注入链就容易断裂
HTML里嵌了 iframe 或 <object></object>，frame-ancestors 和 object-src 就不能省
哪怕只加了一个 <iframe src="https://embed.example.com"></iframe>，frame-ancestors 'none' 就会直接阻断加载；而 object-src 'none' 会让 Flash、PDF 插件全部失效——但漏配这两项，就是给点击劫持（Clickjacking）和插件漏洞留门。
HTML中用了 htmx、Alpine.js 这类增强库，CSP 配置得额外加 nonce 或关 eval
htmx 默认启用 allowEval=true，意味着它会解析 hx-vars、hx-trigger 里的表达式，这需要 script-src 'unsafe-eval'——而这个指令在 Safari 和部分 WebView 中直接禁用，且彻底破坏 CSP 的防御前提。
