CSP — это как правило для браузера: "только от меня и никаких гостевых скриптов". Если забить на это, то атаки поймают моментом, а так хоть чуть спокойнее. Главное — не сделать так жестко, что свой код самому сломать можно.