CSP 不该一次切到阻断：从 Report-Only 到 nonce 的上线契约 Oct 23, 2026 把内容安全策略拆成资源盘点、只报告观测、nonce 或哈希迁移、分阶段阻断和回滚验证，避免安全头上线即事故。