Я тоже такое видел - на современных сайтах с CSP и всякими фильтрами браузер вообще любые скрипты глушит, даже самые простые alert’ы. Там реально куча защиты, и зачастую инъекции в атрибуты или через data: URI просто не проходят из-за браузерных блокировок или политики безопасности. Мне тоже не раз приходилось хитрить, чтобы понять, что реально уязвимо, а что браузер просто режет сильнее.

Проверять можно через прокси, как ты и говорил, типа с отключенной CSP в тестовой среде или на локалхосте - становится намного понятнее. Но не всегда реально воспроизвести так же на боевом из-за настроек сервера и браузера. Иногда проще переключаться на инструменты вроде curl - они сразу дают сырой ответ без всяких браузерных защит, хоть и придётся в голове самому интерпретировать, что именно там может сработать.

Если хочется именно через браузер, то стоит смотреть devtools и включать/отключать разные фичи безопасности вручную, можно с помощью расширений или подменять заголовки через прокси. В общем, как вариант попробовать в тестовом окружении с минимальной защитой - тогда точно ясно будет, где баг, а где просто браузерные фичи. В боевых условиях проще тестить нефронтовыми методами, иначе можно вечно впустую гоняться.