CSP的<meta>标签基本无法防御XSS，因其注册滞后、主流浏览器不支持nonce/哈希、被响应头覆盖、file://下失效，且script-src 'self'不禁止内联脚本；生产环境必须用响应头配合代码改造。
为什么里的CSP基本拦不住XSS
因为浏览器解析 <meta http-equiv="Content-Security-Policy"> 是同步但滞后的：它只在 HTML 解析到该标签位置时才注册策略，而在此之前已遇到的 <script>alert(1)</script> 或 <button onclick="xss()"> 会立刻执行——此时 CSP 还没加载，等于没设。
- Safari 16.4 之前版本直接跳过含
nonce-或sha256-的整条script-src指令 - Chrome 124+ 已移除对
script-src 'unsafe-inline'在<meta>中的解析支持（写了也当没写） - 只要服务端返回了任意
Content-Security-Policy响应头（哪怕拼错或为空），<meta>就被完全忽略 - 本地用
file://打开页面时，CSP 全面失效 ——<meta>和响应头都无效
script-src 'self' 写在<meta>里等于没设
script-src 'self' 只约束外部 <script src="..."> 的来源，不控制内联脚本是否允许运行。它默认仍放行所有 <script>...</script> 和 onclick 等事件处理器 —— 这正是 XSS 最常利用的入口。
- 想真正禁用内联脚本，必须显式配合
nonce-或哈希值，但这两者在<meta>中不被 Safari / Android WebView 等主流环境可靠支持 - 写成
script-src 'self' 'unsafe-inline'更危险：等于主动开放所有内联执行能力，XSS 防御形同虚设 -
default-src 'none'这类关键指令，在<meta>中无法生效，因为它依赖策略全局初始化时机，而<meta>不具备这个能力
哪些场景下<meta>的CSP还能凑合用
仅限开发调试、原型验证或极低风险静态页，且必须满足全部条件：
- 页面完全无用户输入、无动态渲染、无第三方 JS 注入
- 不依赖
nonce/hash，只用简单源限制如img-src 'self'或frame-src 'none' - 不跨域加载资源，也不用
connect-src、form-action等需运行时校验的指令 - 明确知道当前测试环境是 Chrome 最新稳定版（非 Safari / WebView / Electron）
例如：<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests"> 在 HTTPS 页面中可触发自动协议升级，这个指令本身不涉及执行控制，<meta> 能起效，但和 XSS 防御无关。
真要硬防御，必须换响应头 + 改代码
生产环境唯一靠谱路径是服务端发响应头，并配合前端改造。Nginx 示例：
add_header Content-Security-Policy "default-src 'none'; script-src 'self'; connect-src 'self'; form-action 'self'; base-uri 'self'; frame-ancestors 'none'; object-src 'none'";
-
default-src 'none'是关键起点：堵死所有未显式声明的资源类型 - 必须移除所有内联脚本：把
<script>...拆成外部文件，把onclick替换为事件监听器 - 若需动态脚本（如 eval、JSONP），得用
script-src 'unsafe-eval'—— 但这是退步，应优先重构 -
<meta>标签留着也无妨，但别指望它起作用；它只会干扰调试、掩盖真实策略缺失
最易被忽略的点：CSP 不是开关，而是白名单机制。漏掉一个 connect-src 就可能让 API 请求失败，漏掉一个 style-src 'unsafe-inline' 就会让 Vue/React 的内联样式崩溃 —— 所有指令都得按实际运行时行为逐条对齐，而不是照抄模板。
