为何浏览器仅对特定类型的内联样式触发CSP报错？

你观察到的这个现象完全正确！你不用怀疑自己的判断——这其实是CSP（内容安全政策）对不同样式注入方式的规则差异导致的，我来给你掰扯清楚背后的逻辑：

两种样式设置方式的本质差异 #

咱们先拆解你用到的两种写法：

• h.setAttribute('style', 'visibility: hidden;...')：这种写法是直接给DOM元素添加/修改style属性，本质上是把样式字符串直接嵌入到元素的HTML属性里，属于CSP明确界定的「内联样式属性」（也就是你报错信息里提到的style attributes）。这类操作完全符合CSP中unsafe-inline限制的触发条件，因为它和直接在HTML里写<div style="...">是一模一样的行为。

• s.style.fontSize = "12px"：这种写法是通过浏览器的DOM Style API来操作元素的样式对象，它并不会生成或修改元素的style属性，而是直接在浏览器维护的CSS对象模型（CSSOM）中修改样式。CSP的style-src规则默认不会限制这种API调用，因为它不属于“内联样式属性”“内联