Кто-нибудь тут толком разбирался с Content Security Policy? Вот, вроде бы, это настройка для браузера, которая помогает ограничить, откуда загружаются скрипты, стили и прочее. По идее, должна защищать от всяких XSS-атак и ненужных внешних ресурсов.

Проблема в том, что на практике иногда CSP либо пишут криво, и сайт ломается, либо ставят максимально лояльные правила, которые толком ничего не закрывают. Я для нескольких проектов пробовал включать, проверял через DevTools — нормальный отчет получаю, но ломается всякая загрузка шрифтов или скриптов с CDN.

Кому как удаётся балансить между безопасностью и работоспособностью? Кто какие директивы считает основными? Мне кажется, что если просто блокировать «unsafe-inline» исы gpu, то уже норм будет, но мало ли.