为何<audio>资源需遵循CSP？Blob资源受限问题咨询

• Blob作为：Blob是浏览器本地生成的二进制数据容器，

• 为什么default-src: 'none'会阻止？：CSP的default-src是所有资源加载的默认策略，'none'意味着禁止加载任何类型的外部/本地资源。而

• 主开发者的顾虑可能是什么？：设置default-src: 'none'是最严格的CSP配置，目的是最小化潜在攻击面。开发者可能是遵循「最小权限原则」，在没有明确需求的情况下，默认禁止所有资源加载；或是担心存在间接风险（比如项目中其他逻辑漏洞导致恶意Blob被注入，但这种场景针对音频来说概率极低）。

• 解决建议：可以向项目主开发者提议调整CSP规则，添加media-src: blob:。因为用户录制的音频Blob是本地生成的可信内容，不会引入外部恶意代码，添加这个规则既满足功能需求，也不会破坏CSP的安全防护性。

内容的提问来源于stack exchange，提问作者falsekein