为何Content-Security-Policy头将内联脚本视为‘unsafe’？

内联脚本被视为不安全，核心原因是它会给Web页面带来明确的安全风险，主要体现在以下几点：

• XSS攻击的重灾区：如果网站存在注入漏洞（比如用户可控的内容未做转义就插入页面），攻击者可以直接注入内联<script>标签执行恶意代码——比如窃取用户Cookie、劫持会话、篡改页面内容。禁用内联脚本后，这类注入的恶意代码会被CSP直接拦截，大幅降低XSS攻击的威胁。

• 无法验证脚本完整性：外部脚本可以通过integrity属性绑定哈希值，确保脚本内容未被篡改（比如CDN劫持、服务器被入侵导致脚本被替换）。但内联脚本没有这类验证机制，一旦页面HTML被篡改，内联脚本也会被恶意修改并执行，CSP无法识别这种篡改行为。

• 脱离来源管控：CSP的核心逻辑是限制资源只能从可信域名加载，而内联脚本是直接嵌入HTML的，没有明确的来源域名。任何能修改页面HTML的途径（比如服务器漏洞、前端存储被篡改）都能插入恶意内联代码，完全绕过了CSP的来源管控逻辑，因此被归类为不安全项。

内容的提问来源于stack exchange，提问作者A. Matías Quezada