结论：meta标签根本不能封锁外域JS；浏览器静默忽略<meta>中的script-src指令，仅HTTP响应头设置的Content-Security-Policy生效，且必须由服务端配置（如Nginx、Express或Apache），配合nonce/hash机制替代'unsafe-inline'才能真正拦截外链脚本。
meta标签根本不能封锁外域JS
直接说结论：<meta http-equiv="Content-Security-Policy" content="script-src 'self'"> 对 <script src="https://cdn.example.com/xxx.js"></script> 完全无效，浏览器会静默忽略 script-src 指令。这不是配置写错了，是规范和实现层面的硬性限制。
哪些CSP指令在meta里能起作用
<meta> 只支持极少数低风险、不涉及执行上下文的指令：
-
upgrade-insecure-requests：对运行时发起的fetch()、new Image().src等请求生效，但对 HTML 中已写死的<script src="http://...">无影响 -
img-src 'self'：部分浏览器（Chrome/Firefox）可拦截外链图片，但兼容性不一 -
base-uri 'self'：有效，能防止<base href="http://evil.com">被篡改 -
default-src 'self'：实际效果受限，无法阻止外链脚本加载
所有涉及资源加载或执行控制的指令——script-src、connect-src、frame-src、object-src——在 <meta> 中一律被丢弃，不报错、不警告、不生效。
真正能封锁外域JS的唯一方式
必须通过 HTTP 响应头设置，且需服务端配合：
立即学习“前端免费学习笔记（深入）”；
- Nginx 配置：
add_header Content-Security-Policy "script-src 'self' https://trusted.cdn.com; object-src 'none'"; - Express（Node.js）：
res.setHeader('Content-Security-Policy', "script-src 'self' 'nonce-RANDOM'");（注意：必须配nonce或hash才能允许必要内联脚本） - Apache：
Header set Content-Security-Policy "script-src 'self' 'unsafe-inline' https://trusted.cdn.com"（慎用'unsafe-inline'）
验证是否生效：打开 DevTools → Network → 点击 HTML 请求 → 查看 Response Headers 是否含 content-security-policy 字段；若只有 <meta>，策略就等于没设。
容易被忽略的关键细节
即使响应头设置了 script-src 'self'，如果漏掉 'unsafe-inline' 的显式排除，攻击者仍可通过 <script>alert(1)</script> 或 <button onclick="xss()"> 注入——外域 JS 没了，但内联执行通道全开。真正安全的前提是：明确禁用 'unsafe-inline' 和 'unsafe-eval'，再用 nonce 或 hash 白名单化必需的内联代码。
