标签中的csp无法拦截内联样式，因浏览器对style-src指令支持极弱且不校验nonce/hash；唯一有效方式是通过http响应头设置content-security-policy并禁用'unsafe-inline'，配合nonce或hash显式授权。
meta标签根本拦不住内联样式
直接说结论：<meta http-equiv="Content-Security-Policy"> 无法限制内联样式（<style></style>块、style=""属性），浏览器对它的 style-src 指令支持极弱，且不校验 nonce/hash —— 写了也白写。
常见错误现象：加了 content="style-src 'self'"，但 <div style="color:red"> 或 <code><style>body{margin:0}</style> 照常生效，控制台无报错，审计工具也检测不到策略生效。
- Chrome 124+ 和 Safari 16.4+ 已移除对
style-src在<meta>中的大部分支持，仅保留对'self'的基础识别（且不拦截） - Firefox 对
<meta>中的style-src完全静默忽略，既不执行也不报错 - 即使浏览器“认得”该指令，它也**不检查**
style=""属性或<style></style>标签内容，更不会比对 hash 或 nonce
真正能拦内联样式的唯一方式是 HTTP 响应头
必须用服务端返回的 Content-Security-Policy 响应头，并显式禁用 'unsafe-inline'：
-
style-src 'self' 'nonce-abc123'→ 只放行带nonce="abc123"的<style></style>标签，style=""属性仍被拦 -
style-src 'sha256-xxx'→ 对<style></style>标签内部 CSS 内容（不含标签本身）做 SHA256，生成哈希后填入响应头 -
style-src 'none'→ 彻底禁止所有样式加载（包括外链 CSS），慎用
注意：style-src 'self' 单独写，**不等于**禁内联 —— 它只管 <link rel="stylesheet"> 的来源，对 style="" 和 <style></style> 块完全无效。真正起效的前提是去掉 'unsafe-inline'，再配合 nonce 或 hash。
为什么 onclick 能被拦而 style="" 拦不住？
这不是策略不一致，而是浏览器实现层面的硬限制：style="" 属于 HTML 渲染层早期解析行为，在 CSP 解析完成前已应用；而 onclick 绑定属于事件注册阶段，CSP 会在此时介入检查。
-
onclick触发时，浏览器会查script-src是否允许内联执行 → 报Refused to execute inline event handler -
style=""是 DOM 构建的一部分，CSP 不参与该阶段校验 → 无报错、无拦截、无日志 - 想统一管控？唯一解是重构：把所有
style=""提到 class，用 CSS 文件管理；把<style></style>块外提为<link>或用 nonce/hash 显式授权
上线前必须验证的两个细节
哪怕你用了响应头，以下两点漏掉一个，style-src 就形同虚设：
- 确认响应头中
Content-Security-Policy字段存在且未被 CDN 或反向代理覆盖（用curl -I或 DevTools → Network → Response Headers 查） - 如果用了
nonce，确保每次响应生成新值，且只用于<style nonce="xxx"></style>—— 硬编码或复用 nonce 会导致合法样式白屏
别信本地双击打开 HTML 或 file:// 路径下的测试结果，CSP 在该场景下全局关闭；必须走真实 HTTP 服务（如 python3 -m http.server 或 Nginx）验证。
