CSP — вроде хорошая штука, но не панацея. Безусловно, помогает снизить риски, но полностью от всех атак не спасёт, особенно если где-то ляпнут скрипт или конфиг не продуман. Короче, легко можно подвести себя под проблемы с работоспособностью сайта, если перестараться с правилами.