真正有用且被主流浏览器一致支持的http-equiv值仅有Content-Type、Refresh和Content-Security-Policy；其中Content-Type仅在无meta charset时降级生效，Refresh存在历史记录破坏与用户交互限制，CSP则能力弱于响应头且不支持nonce等关键特性。
哪些 http-equiv 值真正有用且被主流浏览器支持
绝大多数 http-equiv 值在现代前端开发中已失效或被忽略，仅少数几个仍具实际效果。浏览器对它们的处理逻辑与真实 HTTP 头不同——它们是 HTML 解析器在文档加载早期“模拟”出的行为，不经过网络栈，也不影响服务端响应。
当前仍被 Chrome、Firefox、Safari（含 iOS）一致支持的有：
-
http-equiv="Content-Type"：仅在无<meta charset>时 fallback 生效，优先级低于<meta charset="utf-8"> -
http-equiv="Refresh"：可触发页面重定向或自动刷新，但会破坏前进/后退历史，且被部分浏览器限制在用户交互后才允许跳转 -
http-equiv="X-UA-Compatible"：仅 IE 10 及更早版本识别，用于强制文档模式，Edge 和现代 IE 已完全无视 -
http-equiv="Content-Security-Policy"：从 Chrome 25、Firefox 23 起支持，但注意：它仅作用于当前文档，不能继承或覆盖子资源策略，且不等价于响应头中的 CSP（例如缺少report-uri的完整上报能力）
http-equiv="Refresh" 的实际行为和坑点
这个值常被误认为等同于 Location 响应头，但它本质是客户端定时器 + 页面级跳转，和 HTTP 重定向有根本区别。
- 语法必须为
<meta http-equiv="Refresh" content="0; url=https://example.com">，其中数字是秒数，url=后不可带空格 - 若只写
content="3"（无 url），浏览器会刷新当前页，不是等待 3 秒再刷新——很多开发者误以为这是“延迟刷新”，其实是立即刷新，3 秒后再次刷新，形成循环 - Chrome 80+ 对自动跳转施加了限制：若页面未获得用户焦点或未触发过用户手势（如 click），
Refresh将被静默忽略，控制台输出Failed to execute 'document.write' on 'Document': It cannot be used after the document has been parsed.类似提示 - SEO 不友好：搜索引擎普遍不跟踪
Refresh跳转，也不会传递权重
为什么 http-equiv="Cache-Control" 或 "Expires" 几乎没用
这些值看似能控制缓存，但浏览器根本不按 HTTP 头语义解析它们。HTML 规范明确说明：http-equiv 不改变网络请求行为，只影响 HTML 解析器内部状态。
-
http-equiv="Cache-Control"：所有现代浏览器均忽略，不会阻止缓存，也不会强制 revalidation -
http-equiv="Expires"：仅旧版 IE 曾尝试读取，但解析方式错误（如把值当本地时间而非 GMT），早已废弃 - 真正控制缓存只能靠服务端响应头，或使用 Service Worker 拦截请求
- 试图用
<meta http-equiv="Pragma" content="no-cache">阻止缓存？同样无效，该字段在 HTTP/1.1 中已被弃用，浏览器不实现其语义
http-equiv="Content-Security-Policy" 的兼容性边界
这是目前唯一一个能产生实质性安全效果的 http-equiv 值，但它的能力远弱于响应头版本。
- 支持情况：Chrome 25+、Firefox 23+、Safari 7+、Edge 12+；iOS Safari 7.1+ 支持，但 iOS 9.3 之前不支持
worker-src等新指令 - 不支持的特性包括：
report-to、require-trusted-types-for、base-uri在某些旧版本中无效 - 多个
<meta http-equiv="Content-Security-Policy">标签会被合并，但冲突指令（如两个script-src）以第一个为准，后续被忽略——这点和响应头的“合并策略”完全不同 - 无法设置 nonce 或 hash：因为 meta 标签本身是静态 HTML，无法动态注入 nonce 值，所以不能替代服务端生成的 CSP 头来防护内联脚本
真正需要精细控制 CSP 的项目，应该优先通过响应头设置，http-equiv 版本只适合原型验证或极简静态站兜底。
