html中不能构成有效安全策略，因其被响应头强制忽略、不支持关键指令、无法动态注入nonce、存在位置/格式/数量三重硬约束，且script-src 'self'默认仍放行内联脚本，生产环境基本无效。
HTML文档结构里加 <meta http-equiv="Content-Security-Policy"> 标签，**不能构成有效安全策略**——它既不强制、也不完整，上线即失效。
为什么标签在生产环境基本无效
浏览器只要收到任何 Content-Security-Policy 响应头（哪怕值为空或语法错误），就会直接忽略所有 <meta> 标签。这不是兼容性问题，是规范强制行为。
- Chrome 124+ 已移除对
frame-ancestors、base-uri、report-to等关键指令的<meta>支持 -
report-uri和report-to在<meta>中完全不工作，你收不到任何违规日志 - Android WebView 可能跳过整条含
nonce-或sha256-的script-src规则，导致脚本白屏但无报错 - 即使 Safari 16.4 之前版本接受该写法，也会静默丢弃整条策略，控制台连 warning 都不输出
就算硬要用，也有三道物理级限制
不是“写了就行”，而是浏览器强制校验位置、格式、数量，错一个就整条失效：
- 必须是
中第一个标签，早于<title></title>、<meta charset>、<link>；放错位置，内联脚本可能已执行或被拒 -
content属性值不能换行、不能首尾空格、不能含未转义引号；例如content="script-src 'self' https://js.stripe.com"合法，但content="script-src 'self'\nhttps://js.stripe.com"直接失效 - 整个页面只允许一个
<meta http-equiv="Content-Security-Policy">；Webpack 插件自动生成 + 手动添加 = 第二条被静默丢弃
script-src 'self' 写在里等于关掉XSS防护
很多人以为加了 script-src 'self' 就安全了——其实它默认放行所有 <script></script>、onclick=、javascript:，根本拦不住 XSS。
- 要禁内联脚本，必须省略
'unsafe-inline'，再配合服务端动态生成的nonce或预计算的sha256-哈希 -
<meta>无法动态注入nonce，硬编码等于公开密钥，形同虚设 - 写
script-src 'self' 'unsafe-inline'看似兼容旧代码，实则是把 CSP 最核心的 XSS 防御层直接卸载 - 某些 Android WebView 会把
'unsafe-inline'当作非法 token，跳过整条script-src规则，结果脚本全被拦但查不到原因
真正该怎么做：用响应头，而不是
Content-Security-Policy 必须通过 HTTP 响应头配置才真正起作用，且需满足四项硬性要求：
- 整个策略值必须用双引号包裹，内部源关键字（如
'self'、'none'）必须用单引号 - 每条指令后跟源列表，空格分隔，末尾不加逗号；指令之间用分号 + 空格分隔，例如：
default-src 'none'; script-src 'self' 'nonce-abc123'; style-src 'self' 'unsafe-inline' - 含
nonce时，必须由后端每次请求生成并注入，不能是模板字面量；Nginx 示例中{random}必须被真实随机值替换 - 策略含语法错误（漏引号、多空格、非法字符），整条头会被浏览器静默忽略，不报错也不生效
复杂点在于：CSP 不继承父页面策略，iframe、worker、fetch 返回的 HTML 片段也得各自带头；富文本渲染、模板插值、动态 innerHTML 注入的脚本，必须单独验证是否匹配策略——它们不会继承父页面的 CSP。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
