为何Content-Security-Policy(CSP)头部多值用;分隔而非HTTP标准规定的,？

• 规避HTTP头部原生合并逻辑的冲突
  HTTP标准中逗号的作用是分隔多个同名字段的独立实例，按照规范，代理、服务器中间件或浏览器会自动将多个同名的Content-Security-Policy头部用逗号拼接合并。如果CSP内部采用逗号分隔指令，合并后的内容将完全无法区分「分隔多份策略的逗号」和「分隔同策略内指令的逗号」，出现严重的解析歧义。
  举个实际场景：

  // 服务端返回两个独立CSP头
  Content-Security-Policy: default-src 'self'
  Content-Security-Policy: img-src https://*.cdn.com
  // 按HTTP标准合并后为
  Content-Security-Policy: default-src 'self', img-src https://*.cdn.com
  

  用分号作为指令分隔符的情况下，只需要先按逗号拆分出多份独立策略，再对每份策略按分号拆分指令即可，解析逻辑完全清晰。
• 避免和指令内合法字符冲突
  CSP的指令取值中逗号是非常常见的合法字符：比如源地址的查询参数、nonce值、上报地址的参数都可能包含逗号。而分号在URL、源表达式等CSP常见取值中极少作为必要字符存在，就算出现也可以通过转义处理，用分号做分隔符可以大幅降低意外拆分指令的概率。
• 层级清晰降低理解成本
  CSP的规则天然存在三级分隔逻辑，三种分隔符完全独立不会冲突：
  1. 最外层：逗号分隔多份独立的CSP策略
  2. 中间层：分号分隔同一份策略内的不同安全指令
  3. 最内层：空格分隔同一个指令的多个允许值
     同时这种分号分隔不同规则的语法和CSS的属性分隔逻辑一致，开发者学习成本更低，规则可读性更强，也更容易排查配置错误。

内容的提问来源于stack exchange，提问作者user3188838