CSP不是代码质量标准，而是HTML合规性审计中不可绕开的强制性安全门槛；仅检查doctype、结构或闭合而不验证CSP是否生效及是否被绕过，等于未做前端合规审计。
直接说结论：CSP本身不是代码质量标准，但它是HTML合规性审计中不可绕开的强制性安全门槛。光检查doctype、html结构或标签闭合，不验证CSP策略是否生效、是否被绕过，等于没做前端合规审计。
怎么判断CSP是否真正起效
浏览器控制台里看到Refused to load the script这类报错，不代表CSP配置对了——它只说明策略被触发，不说明策略本身合理。常见误判点：
- 用
Content-Security-Policy-Report-Only头代替Content-Security-Policy，结果一直“只报不拦”，线上形同虚设 -
script-src 'unsafe-inline'开着，哪怕加了nonce也白搭，因为内联脚本仍可执行 - 把
default-src 'self'写成default-src *，等于放行所有外部资源 - 没配
report-uri或report-to，违规行为无声无息，你根本不知道策略被绕过了多少次
HTML代码里哪些写法会直接破坏CSP合规性
不是所有合法HTML都符合CSP要求。以下写法在静态扫描阶段就该被拦截：
- 含
<script>标签的HTML片段，无论内容空不空，一律拒绝——CSP禁止内联脚本，除非带有效nonce或匹配哈希 -
onclick="doSomething()"这类内联事件处理器，属于unsafe-inline范畴，必须转为addEventListener绑定 -
href="javascript:void(0)"或src="data:text/javascript,..."，违反script-src和object-src指令 - 未加
sandbox属性的<iframe>，尤其当src指向用户可控内容时，CSP无法约束其内部脚本执行
为什么只靠工具扫描CSP配置是危险的
自动化工具能识别Content-Security-Policy响应头是否存在，但无法判断：
立即学习“前端免费学习笔记（深入）”；
- 策略是否被
<meta http-equiv="Content-Security-Policy">覆盖（后者优先级低于HTTP头，且不支持report-uri） - 页面是否通过
document.write()或innerHTML动态注入了未签名脚本，绕过初始CSP - 第三方SDK（如统计、埋点）是否自带
eval或new Function()，触发unsafe-eval例外 - 服务端模板是否在渲染时拼接了
nonce值，而实际生成的HTML里script标签没带上对应nonce属性
CSP与HTML结构审查必须联动才有效
单独审HTML结构或单独审CSP都容易漏掉关键问题。比如：
- 一个看似规范的
<html><head><meta charset="utf-8"></head><body></body></html>，如果<head>里插了<script src="/bad.js"></script>，而CSP没放行该域名，整页就失效 - 用了
sandbox="allow-scripts"的<iframe>，但没配allow-same-origin，导致子页面无法读取父页面document，功能异常却查不出原因 -
style-src 'self' 'unsafe-inline'允许内联样式，但若HTML里有<div style="background:url(javascript:alert(1))">，照样触发XSS
真正要命的不是单点错误，而是CSP策略和HTML实际行为之间的错位——这种错位几乎从不在单元测试里暴露，只在真实用户访问时浮现。
