火狐浏览器中临时覆盖当前页面CSP策略需在开发者工具控制台执行document.querySelector('meta[http-equiv="Content-Security-Policy"]').remove()，仅对本次加载生效；全局禁用则需在about:config中将security.csp.enable设为false并重启，但会严重降低安全性。
当你开发或调试一个Web应用，页面因CSP策略拦截了内联脚本、远程字体或第三方iframe而白屏、样式丢失或功能失效时，需要针对性调整火狐浏览器对当前页面生效的CSP策略，而非全局禁用。
通过开发者工具临时覆盖当前页面CSP
这仅影响当前标签页的本次加载，刷新即失效，适合快速验证策略是否为问题根源。
打开目标网页 → 按 F12 呼出开发者工具 → 切换到 控制台（Console） 标签页 → 输入以下命令并回车：
document.querySelector('meta[http-equiv="Content-Security-Policy"]').remove()
若页面未通过 <meta> 设置CSP，则该命令无效果；此时需检查响应头。此操作会移除HTML中声明的CSP策略，但无法解除服务器通过HTTP响应头（Content-Security-Policy）下发的策略。
修改about:config中的CSP全局开关（慎用）
仅适用于本地开发调试或可信内部环境，生产环境切勿关闭。
在火狐地址栏输入 about:config → 回车 → 点击“我了解此风险” → 在搜索框输入 security.csp.enable → 找到该项 → 双击将其值由 true 改为 false。
【此操作将全局禁用所有页面的内容安全策略，包括银行、邮箱等敏感站点，极大降低浏览器安全性】
重启浏览器后生效。如需恢复，重复上述步骤改回 true 即可。
为特定扩展或本地HTML文件放宽CSP限制
当你用火狐加载本地HTML文件（file://协议）或开发自定义扩展时，常因默认CSP拒绝执行内联脚本或加载本地资源而报错。
方法一：在HTML文件的 <head> 中添加宽松策略（仅对本文件有效）
插入如下 <meta> 标签，放在其他 <meta> 之后、<title> 之前：
<meta http-equiv="Content-Security-Policy" content="default-src 'self' data: blob:; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; connect-src 'self';">
注意：'unsafe-inline' 和 'unsafe-eval' 是高危指令，仅限本地调试使用，绝不可用于线上部署。
方法二：对火狐扩展启用宽泛策略（需修改 manifest.json）
在扩展根目录的 manifest.json 文件中，添加或修改 content_security_policy 字段：
"content_security_policy": "script-src 'self' 'unsafe-eval'; object-src 'self';"
保存后，在 about:debugging 页面点击“重新加载”该扩展。此设置仅对该扩展生效，不影响其他网页。
使用Web服务器动态注入定制CSP头
这是生产环境唯一推荐的方式：让服务端根据请求路径、用户角色或环境变量返回差异化的CSP响应头。
第一步：确认当前页面CSP来源
打开开发者工具 → 网络（Network）标签 → 刷新页面 → 点击主HTML请求 → 查看“响应标头（Response Headers）”中是否存在 Content-Security-Policy 字段。
第二步：配置Nginx示例（其他服务器同理）
在对应 location 块中加入：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self';";
第三步：避免重复设置
若HTML中同时存在 <meta http-equiv="Content-Security-Policy">，则响应头策略优先级更高，<meta> 将被忽略。务必删除冗余的meta声明。
第四步：验证生效
刷新页面 → 控制台不再报 Refused to execute inline script 类错误 → 检查网络请求响应头确认新策略已下发。
