meta标签无法真正启用CSP策略，因浏览器仅支持少数HTTP头模拟，Content-Security-Policy不在其中；script-src等核心指令在meta中被静默丢弃，必须通过服务端响应头设置才生效。
meta http-equiv="Content-Security-Policy" 在生产环境基本无效
浏览器根本不把它当真正的 CSP 响应头处理——http-equiv 仅模拟少数 HTTP 头（如 refresh 或 content-type），而 Content-Security-Policy 不在支持列表里。Chrome、Firefox、Safari 都明确忽略，控制台也不报错，但策略完全不生效。
常见错误现象包括：alert(1) 仍能从内联 <script> 弹出；onclick="alert(1)" 未被拦截；eval("console.log(1)") 照常执行。你以为加了就防 XSS，实际等于没加。
- 服务端返回了任意
Content-Security-Policy响应头（哪怕写错了）， 就会被彻底覆盖 - 本地用
file://协议打开 HTML 时，CSP 全面关闭（包括 版本） - Chrome 124+ 已限制 中
script-src等核心指令的支持，连解析都跳过
script-src 指令在 meta 中根本不起作用
script-src、connect-src、frame-src 等涉及资源加载或执行的指令，在 中被浏览器静默丢弃。W3C 规范和所有主流引擎实现一致：这些指令只响应 HTTP 响应头， 不具备等效能力。
你写 <meta http-equiv="Content-Security-Policy" content="script-src 'self'">，然后引入 <script src="https://cdn.jsdelivr.net/npm/react@18"></script>，它照样加载成功——这不是配置错，是浏览器压根不看这一行。
立即学习“前端免费学习笔记（深入）”；
- 验证方法：打开 DevTools → Network → 点开 HTML 请求 → 查看 Response Headers，确认是否存在
Content-Security-Policy字段；若只有 ，script-src就形同虚设 -
report-to、report-uri、frame-ancestors、nonce-、sha256-等关键机制全部不支持 -
upgrade-insecure-requests是极少数能在 中起效的指令，但也只对运行时发起的请求（如fetch("http://")）生效，对硬编码的<script src="http://...">无能为力
meta CSP 的三道硬约束：位置、格式、数量
就算你坚持要用 （比如静态托管平台无法配响应头），也必须同时满足三个条件，缺一不可：
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
-
<meta http-equiv="Content-Security-Policy">必须是<head>中第一个标签，早于<meta charset>、<title>、任何<link>或<script> -
content属性值不能换行、不能首尾空格、不能含未转义双引号 ——content="default-src 'self'; script-src 'self'"合法，content="default-src 'self';\nscript-src 'self'"整条失效 - 整个页面只能有一个该 标签；Webpack 插件自动生成 + 手动添加导致重复时，只有第一个生效，其余被静默丢弃
哪怕只多一个空格或晚插入一个 <link rel="stylesheet">，策略就可能在解析中途失效，而你根本收不到任何提示。
真正要拦外链脚本，必须走 HTTP 响应头
唯一可靠的方式是服务端设置响应头：Content-Security-Policy。Nginx、Apache、Express、Django 等都支持直接注入，且能完整启用 nonce、hash、report-to 等机制。
Nginx 示例：add_header Content-Security-Policy "script-src 'self' 'nonce-{随机值}' https://trusted-cdn.com; object-src 'none'; base-uri 'self'";
Express 示例：res.setHeader('Content-Security-Policy', "script-src 'self' 'sha256-xxx' https://cdn.example.com");
- 不要试图用 放行内联脚本 —— 想让
<script>const token = document.querySelector('meta[name="csrf-token"]').content;</script>执行，唯一靠谱做法是抽成外部文件<script src="/js/app.js"></script> - CDN、反向代理、SSR 框架（如 Next.js/Vite SSR）几乎都会忽略或覆盖 CSP，只认响应头
- 现代部署中， CSP 的唯一合理用途，是在本地开发时快速验证策略语法逻辑，而非真实防护
真正生效的 CSP 不是写在 HTML 里的，是发在 HTTP 响应头里的；漏掉这一点，其他所有配置都是在给空气加固。
