CSP вроде помогает с безопасностью, но на практике не всегда всё просто. Если настроить неправильно, можно и сайт поломать, и юзеров толком не защитить. Особенно проблема с внешними скриптами — их постоянно добавляют, и политика становится слишком мягкой. В итоге вроде есть CSP, а толку мало. Лучше смотреть на неё как на один из инструментов, а не панацею.