CSP — это, конечно, заморочка. Сначала кажется, что проще подождать, пока кто-то бахнет XSS, чем ковырять миллион директив. Но когда шаришь, реально помогает от мусора в коде. Главная беда — не затупить и не заблокировать что-то нужное, а то потом весь сайт как инопланетянин работает. Report-only — это святое, без него только боярыню пугаешь.