csp策略拦截导致safari中“refused to execute inline script”报错，需检查script-src指令：移除'unsafe-inline'等危险值，改用'self'加可信域名；内联脚本推荐加nonce（safari支持）或外置为.js文件；临时调试可移除meta csp，但http头无法绕过。
网页在 Safari 中加载失败、功能异常或控制台报错“Refused to execute inline script”“violates the following Content Security Policy directive”，说明 CSP 策略正在主动拦截脚本执行，必须针对性调整策略或绕过限制才能恢复功能。
确认CSP拦截是否真实发生
打开问题页面 → 按 Command+Option+I 打开开发者工具 → 切换到“控制台”标签页 → 刷新页面 → 查看是否有以“Refused to … because it violates the Content Security Policy”开头的红色报错。若存在，说明CSP是根因；若无此类报错，则问题与 CSP 无关，无需继续本流程。
注意：Safari 控制台不会显示完整的 CSP header 值，需切换到“网络”标签页 → 点击主 HTML 请求 → 查看“标头”→ 在“响应标头”中找 【Content-Security-Policy】 字段，复制其完整内容用于后续分析。
检查并修正CSP策略中的script-src指令
script-src 是决定脚本能否执行的核心指令，错误配置会直接导致脚本被拒。
方法一：移除危险值（适用于你有服务器权限）
若响应头中包含 script-src 'unsafe-inline' 'unsafe-eval' 或 script-src *，立即删除——这些值等于关闭防护，浏览器会直接拒绝加载，Safari 尤其严格。改用最小化授权：script-src 'self' https://cdn.example.com，只允许可信域名的外链脚本。
方法二：为内联脚本添加 nonce（推荐）
后端渲染页面时，在 <script></script> 标签上动态注入匹配的 nonce 属性，例如：<script nonce="N23k9fLx">console.log('ok');</script>；同时确保 CSP 响应头含 script-src 'self' 'nonce-N23k9fLx'。Safari 支持 nonce，但不支持 hash（如 'sha256-xxx'），这点和 Chrome 不同。
方法三：将内联脚本外置为独立 .js 文件
把所有 <script>...</script> 内容提取到 main.js 中 → 通过 <script src="/js/main.js"></script> 引入 → CSP 中只需保留 'self' 即可生效。这步能彻底避开 nonce 管理复杂度，且 Safari 对外链脚本的兼容性远高于内联脚本。
临时禁用CSP进行验证（仅限本地调试）
第一步：启用 Safari 开发菜单
Safari → 偏好设置 → 高级 → 勾选“在菜单栏中显示‘开发’菜单”。
规划您的迪拜之旅 — 哈利法塔观景、沙漠探险、迪拜购物中心购物、棕榈岛度假村及黄金市场砍价。还提供支持...
第二步：使用开发者工具覆盖CSP
打开问题页面 → 开发 → “显示 JavaScript 控制台” → 在控制台中粘贴并执行：document.querySelector("meta[http-equiv='Content-Security-Policy']").remove();
该操作会移除页面中通过 设置的 CSP（仅对当前页面有效，刷新即恢复）。
第三步：验证功能是否恢复
执行后立即测试原失效功能（如按钮点击、表单提交）。若恢复正常，100%确认是 CSP 导致；若仍异常，则问题出在其他机制（如 CORS、Feature Policy 或 Safari 特有 API 限制）。
【警告：此操作不可用于生产环境，也不能绕过 HTTP 响应头中的 CSP】
适配 Safari 特有的CSP行为
Safari 对某些 CSP 指令的支持与其他浏览器不同，常见差异点如下：
① 不支持 script-src-attr 指令
Chrome 和 Firefox 允许用它单独控制 onclick/onload 等事件属性，但 Safari 完全忽略该指令，所有事件处理器统一受 script-src 约束。因此，若页面大量使用 <button onclick="doSomething()"></button>，必须在 script-src 中显式加入 'unsafe-inline'（不推荐）或重写为事件监听器绑定（推荐）。
② worker-src 在 Safari 中默认继承 script-src
即使未声明 worker-src，Safari 也会用 script-src 的值约束 Web Worker 加载。若你的 Worker 脚本来自 CDN，需确保该域名也在 script-src 白名单中，否则 Worker 初始化失败且无明确报错。
③ base-uri 限制会影响动态 script 创建
若 JS 动态创建 document.createElement('script') 并设置 src，Safari 会校验该 URL 是否符合 base-uri 规则。若 base-uri 'self' 且你尝试加载 https://third.com/lib.js，会被静默阻止。此时要么放宽 base-uri，要么改用 fetch() + eval()（不推荐）或提前预加载。
