<meta>标签写CSP拦不住alert(1)，因浏览器流式解析HTML，恶意脚本在<meta>策略注册前已执行；Chrome 124+忽略meta中script-src 'unsafe-inline'，Safari 16.4前不支持nonce-，Android WebView多不认sha256-，且file://下CSP全禁用、服务端任意响应头均使其失效。
meta 标签写 CSP 为什么拦不住 <script>alert(1)</script>
浏览器解析 HTML 是流式的，<meta http-equiv="Content-Security-Policy"> 必须在所有脚本执行前注册策略，但只要恶意 <script> 出现在它前面（比如写在 <body> 开头或 <head> 里靠前位置），就会立刻执行——策略还没生效，XSS 已完成。
更现实的问题是：Chrome 124+ 已彻底忽略 meta 中的 script-src 'unsafe-inline'，Safari 16.4 之前不支持 nonce- 在 meta 中生效，Android WebView 大部分版本压根不认 sha256- 哈希值。
- 本地用
file://打开 HTML，CSP 完全不触发（所有主流浏览器默认禁用） - 服务端哪怕返回一个拼错的响应头（如
Conten-Security-Policy），meta就被静默丢弃 -
script-src 'self'不禁止内联脚本——它只管<script src="...">的域名，对<script>...和onclick="..."毫无约束力
script-src 配置中哪些值等于主动放行 XSS
很多开发者以为写了 script-src 就算防护了，实际几个常见写法直接废掉整条防线：
-
unsafe-inline：允许所有<script>、onclick、onload等内联执行，XSS 防御归零 -
unsafe-eval：放行eval()、setTimeout(string)、Function(string)，攻击者可动态拼接并执行恶意代码 - 空
default-src或仅设'self'：若没显式声明script-src，会继承default-src 'self'，但该值不排斥内联，也不支持nonce或哈希校验 -
script-src *或script-src https:：等同于开放任意 HTTPS 域名，失去白名单意义
真正起效的写法必须显式排除内联，例如：script-src 'self' 'nonce-abc123'（需服务端注入一致 nonce）或 script-src 'self' 'sha256-...' （哈希必须与内联脚本内容严格匹配）。
立即学习“前端免费学习笔记（深入）”；
使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。
meta 标签勉强可用的三个硬性前提
如果真没法改服务端（比如托管在 GitHub Pages、Vercel 静态部署且不支持自定义响应头），meta 写法要起一点作用，必须同时满足：
-
<meta http-equiv="Content-Security-Policy">必须是<head>中第一个标签，前面不能有任何<script>、<link>或内联事件 - 服务端绝对不能返回任何
Content-Security-Policy响应头（包括拼写错误、空值、Content-Security-Policy-Report-Only） - 只对顶层页面生效，
<iframe>内嵌页完全不继承，report-to、frame-ancestors等关键指令在meta中被浏览器无视
示例（仅限开发验证逻辑，勿用于生产）：
<meta http-equiv="Content-Security-Policy" content="default-src 'none'; script-src 'self' 'nonce-xyz'; style-src 'self'">
真正能拦截内联 XSS 的唯一路径
靠 meta 标签加一堆字符串去“堵”内联脚本，本质是逆浏览器解析流程而动，注定不可靠。能稳定拦截 <script>fetch('/xss').then(...)</script> 或 <button onclick="steal()"> 的，只有 HTTP 响应头配合最小化策略：
- 用
default-src 'none'关死所有资源默认通道 - 显式放开必要类型：
script-src 'self' 'nonce-...'、style-src 'self'、img-src 'self' data: - 移除所有内联脚本和事件处理器，把逻辑抽到外部
.js文件中 - 服务端每次响应生成唯一
nonce并同步注入 HTML 和响应头
复杂点不在语法本身，而在构建流程和部署链路是否支持动态 nonce 注入——Webpack 插件、CDN 缓存策略、后端模板渲染顺序，任何一个环节断掉，CSP 就形同虚设。
