不会。body 元素的 background 属性本身不受 CSP 限制，因它是过时的 HTML4 属性，不触发 style-src 检查；但其引发的图片资源加载受 img-src（或 default-src）约束。
body 元素的 background 属性是否受 CSP 限制？
不会。HTML body 元素的 background 属性（如 <body background="img.png">）是过时的 HTML4 属性，现代浏览器会将其解析为对 background-image 的隐式设置，但**CSP 的 style-src 或 img-src 并不拦截该属性本身**。
真正被拦截的是它背后触发的资源加载行为——比如浏览器尝试从 background="https://evil.com/pixel.gif" 加载图片时，会发起一个图片请求，此时 img-src 策略才起作用。
换句话说：background 属性本身是安全的（无执行、无内联脚本），但它可能间接触发受 CSP 约束的资源加载。
background 属性与 CSS background-image 的 CSP 行为差异
两者最终都导致图片资源加载，但触发时机和策略匹配路径不同：
-
background="url.jpg"：由 HTML 解析器处理，不经过 CSS 解析器，因此绕过style-src检查，只受img-src（或更宽泛的default-src）约束 -
body { background-image: url('url.jpg'); }：属于内联样式或外部 CSS 中的样式声明，若写在<style>标签或属性中，还可能触发style-src 'unsafe-inline'检查（取决于 CSP 配置） - 如果 CSS 是通过
<link rel="stylesheet">加载的，则只受style-src（校验来源）和img-src（校验图片 URL）双重约束
常见误判场景：为什么你看到“背景图不显示”却不是 CSP 拦截？
很多开发者遇到背景图失效，第一反应是 CSP，但实际更可能是以下原因：
- 服务器返回了
404或403，但浏览器控制台只显示“Failed to load resource”，没提示 CSP violation - CSP 报告中没有
violated-directive: img-src字段，却有blocked-uri: "data:"—— 说明你用了background="data:image/png,..."，而img-src未显式允许data: - 用了相对路径如
background="img/bg.png"，但当前页面 URL 是https://a.com/path/，实际请求发到了https://a.com/path/img/bg.png，而该路径被服务器权限或 CORS 阻止，和 CSP 无关 - 设置了
Content-Security-Policy: img-src 'self';，但背景图来自 CDN 域名（如https://cdn.example.com/bg.jpg），此时会被拦截，控制台会出现明确的 CSP violation log
验证是否真被 CSP 拦截的实操方法
别猜，直接看浏览器 DevTools 的 Security 或 Console 面板：
- 打开 DevTools → Security 标签页 → 查看 “Content Security Policy” 列表，确认
img-src是否包含你用的域名或协议 - 刷新页面，在 Console 中筛选
CSP或violat，找形如Refused to load the image '<code>https://xxx' because it violates the following Content Security Policy directive: "img-src 'self'" 的报错 - 临时放宽策略测试：在响应头中加
Content-Security-Policy: img-src 'self' https: data:，再试背景图；若恢复显示，基本锁定是img-src不足 - 注意：Chrome 对
background属性的资源请求，有时不会在 Network 面板标记为Img类型，而是归类为Other，需按文件扩展名或预览判断
真正容易被忽略的是：CSP 对 background 这种 HTML 属性不做语法级阻断，只管后续网络请求；而开发者常把路径错误、跨域拒绝、服务端重定向丢失 Cookie 等问题，一并归给 CSP。
