Meta标签的CSP对内联XSS几乎无效，因浏览器流式解析导致恶意脚本在策略注册前执行；可靠方案是HTTP响应头配合default-src 'none'和script-src 'self'，并移除所有内联脚本。
Meta标签的CSP根本拦不住内联脚本
直接说结论：<meta http-equiv="Content-Security-Policy"> 在真实生产环境里对 <script>alert(1)</script>、<button onclick="xss()">、<svg onload="xss()"> 这类内联XSS几乎无效。
原因很实在：浏览器解析 HTML 是从上到下流式进行的。只要恶意脚本出现在 <meta> 标签之前（比如在 <body> 开头或 <head> 里靠前位置），它就会在 CSP 策略注册前立刻执行。Safari 16.4 之前版本还会直接跳过含 nonce- 或 sha256- 的 script-src 指令；Chrome 124+ 已彻底忽略 script-src 'unsafe-inline' 在 <meta> 中的写法 —— 写了等于没写。
常见错误现象包括：
- 本地用
file://打开 HTML，CSP 完全不生效（所有浏览器都关掉） - 服务端返回了任意
Content-Security-Policy响应头（哪怕拼错成Conten-Security-Policy），<meta>就被无视 - 写了
script-src 'self'，但没加'unsafe-inline'排除项，结果<script>fetch('/api').then(...)</script>照常运行
为什么 script-src 'self' 不等于禁止内联
script-src 'self' 只约束外部 <script src="..."> 的来源，它默认**不禁止**内联脚本执行。这是很多人踩坑的根源。
立即学习“前端免费学习笔记（深入）”；
真正起作用的是显式排除机制，但这些机制在 <meta> 中不可靠：
-
nonce-：需要服务端每次响应生成唯一值，并注入到 HTML 和<meta>中 —— Safari / Android WebView 大部分版本不支持该语法在<meta>里生效 -
sha256-：需提前计算哈希并写死，但构建工具（如 Webpack）若未开启contenthash，哈希会变，策略就失效 -
'unsafe-inline'：一旦出现在script-src里，等于主动放行所有内联脚本，XSS 防御形同虚设
所以，别指望靠改 content 属性里的字符串来“修复”内联 XSS —— 路径错了。
真要防御内联XSS，必须换响应头 + 最小化策略
唯一能稳定拦截内联脚本的路径是 HTTP 响应头 + 显式拒绝指令。Nginx 示例配置中这行最关键：
add_header Content-Security-Policy "default-src 'none'; script-src 'self'; connect-src 'self'; form-action 'self'; base-uri 'self'; frame-ancestors 'none'; object-src 'none'";
default-src 'none' 是硬防线：它让所有未声明的资源类型（比如 style-src、img-src）全部失效，避免漏配导致宽松回退。而 script-src 'self' 在响应头上下文中，配合前端移除所有内联事件和 <script> 块，才能真正起效。
实操要点：
- 删掉所有
<meta http-equiv="Content-Security-Policy">，它只会干扰调试 - 确认后端服务（Nginx / Apache / Node.js / Spring Boot）已启用响应头，且无拼写错误（必须是
Content-Security-Policy，不是X-Content-Security-Policy） - 第三方 SDK 必须走外链引入，并明确加入
script-src白名单，否则会因策略被阻断 - 开发阶段可用
Content-Security-Policy-Report-Only先观察违规日志，但上线前必须切为强制模式
容易被忽略的 DOM 型 XSS 边界
CSP 对 DOM 型 XSS（比如 location.hash 解析后写入 innerHTML）基本无感。这类攻击不触发资源加载，也不依赖 <script> 标签，纯靠 JS 运行时操作 DOM 实现注入 —— script-src 规则压根不介入。
这意味着即使你把响应头配得再严，如果前端代码存在 element.innerHTML = userControlledData 这种写法，CSP 也救不了你。这时候必须靠输入校验、输出编码、或改用 textContent / setAttribute 等安全 API。
别把 CSP 当万能药。它只管“加载和执行”，不管“怎么拼字符串”。这个分界点，上线前一定要厘清。
