Ну CSP, конечно, штука полезная, но не панацея. Если код на сайте забит кривыми вставками, одна политика сработает через раз. Да и иногда она больше мозолит глаза, чем реально защищает, особенно если не настроена аккуратно. Вроде бы помогает, но если не тестировать тщательно — можно и сломать что-то важное. Так что без тщательной практики толку мало.