标签写csp拦不住alert(1)，因浏览器流式解析html，恶意脚本在策略注册前已执行；chrome 124+忽略meta中script-src 'unsafe-inline'，safari 16.4前不支持nonce-，android webview多不认sha256-，且file://下csp全禁用、服务端任意响应头均使其失效。

meta 标签写 CSP 为什么拦不住 <script>alert(1)</script>

浏览器解析 HTML 是流式的，<meta http-equiv="Content-Security-Policy"> 必须在所有脚本执行前注册策略，但只要恶意 <script></script> 出现在它前面（比如写在 开头或 里靠前位置），就会立刻执行——策略还没生效，XSS 已完成。

更现实的问题是：Chrome 124+ 已彻底忽略 meta 中的 script-src 'unsafe-inline'，Safari 16.4 之前不支持 nonce- 在 meta 中生效，Android WebView 大部分版本压根不认 sha256- 哈希值。

• 本地用 file:// 打开 HTML，CSP 完全不触发（所有主流浏览器默认禁用）
• 服务端哪怕返回一个拼错的响应头（如 Conten-Security-Policy），meta 就被静默丢弃
• script-src 'self' 不禁止内联脚本——它只管 <script src="..."></script> 的域名，对 <script>...</script> 和 onclick="..." 毫无约束力

script-src 配置中哪些值等于主动放行 XSS

很多开发者以为写了 script-src 就算防护了，实际几个常见写法直接废掉整条防线：

• unsafe-inline：允许所有 <script></script>、onclick、onload 等内联执行，XSS 防御归零
• unsafe-eval：放行 eval()、setTimeout(string)、Function(string)，攻击者可动态拼接并执行恶意代码
• 空 default-src 或仅设 'self'：若没显式声明 script-src，会继承 default-src 'self'，但该值不排斥内联，也不支持 nonce 或哈希校验
• script-src * 或 script-src https:：等同于开放任意 HTTPS 域名，失去白名单意义

真正起效的写法必须显式排除内联，例如：script-src 'self' 'nonce-abc123'（需服务端注入一致 nonce）或 script-src 'self' 'sha256-...' （哈希必须与内联脚本内容严格匹配）。

html-to-pptx-converter

使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。

下载

meta 标签勉强可用的三个硬性前提

如果真没法改服务端（比如托管在 GitHub Pages、Vercel 静态部署且不支持自定义响应头），meta 写法要起一点作用，必须同时满足：

• <meta http-equiv="Content-Security-Policy"> 必须是 中第一个标签，前面不能有任何 <script></script>、<link> 或内联事件
• 服务端绝对不能返回任何 Content-Security-Policy 响应头（包括拼写错误、空值、Content-Security-Policy-Report-Only）
• 只对顶层页面生效，<iframe></iframe> 内嵌页完全不继承，report-to、frame-ancestors 等关键指令在 meta 中被浏览器无视

示例（仅限开发验证逻辑，勿用于生产）：

<meta http-equiv="Content-Security-Policy" content="default-src 'none'; script-src 'self' 'nonce-xyz'; style-src 'self'">

真正能拦截内联 XSS 的唯一路径

靠 meta 标签加一堆字符串去“堵”内联脚本，本质是逆浏览器解析流程而动，注定不可靠。能稳定拦截 <script>fetch('/xss').then(...)</script> 或 <button onclick="steal()"></button> 的，只有 HTTP 响应头配合最小化策略：

• 用 default-src 'none' 关死所有资源默认通道
• 显式放开必要类型：script-src 'self' 'nonce-...'、style-src 'self'、img-src 'self' data:
• 移除所有内联脚本和事件处理器，把逻辑抽到外部 .js 文件中
• 服务端每次响应生成唯一 nonce 并同步注入 HTML 和响应头

复杂点不在语法本身，而在构建流程和部署链路是否支持动态 nonce 注入——Webpack 插件、CDN 缓存策略、后端模板渲染顺序，任何一个环节断掉，CSP 就形同虚设。

前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！