为什么小书签脚本被阻止？网页 CSP 似乎没问题

Question

我有一个书签。当用户单击小书签时，它会插入一小段代码。这段代码插入了一个 script 元素，该元素反过来获取执行工作的实际脚本。

这适用于大多数网站，但有些网站会通过其内容安全策略阻止脚本。例如，他们可能有

content-security-policy: script-src 'self'

但是，有些网站的脚本被阻止了，但我看不出是什么政策阻止了它。一种情况是 bbc.co.uk，例如https://www.bbc.co.uk/food/recipes/korean-style_mapo_tofu_50944

在开发者工具的网络选项卡中，它说 myscript.js 是

blocked(csp)

但是，我看不到这个页面的 csp 政策，就像我看到其他阻止脚本的网站一样。

什么阻止了脚本请求？

这是完整的书签代码。 myscript.js 被替换为通用库，以便其他人可以测试。

javascript:(function(){var s=document.createElement('script');s.setAttribute('src','https://ajax.googleapis.com/ajax/libs/jquery/3.5.1 /jquery.min.js?'+new Date().getTime());document.getElementsByTagName('body')[0].appendChild(s);})();

更漂亮：

javascript:(function(){
    var s=document.createElement('script');
    s.setAttribute('src','https://ajax.googleapis.com/ajax/libs/jquery/3.5.1/jquery.min.js?'+new Date().getTime());
    document.getElementsByTagName('body')[0].appendChild(s);
})();

日期参数只是为了防止网页使用缓存版本。

Answer 1

bbc.co.uk 在 meta 标签中发布 Content-Security-Policy：

<meta http-equiv="Content-Security-Policy" content="default-src 'self' data: http: https: 'unsafe-inline' 'unsafe-eval';
  frame-src edigitalsurvey.com chartbeat.com static2.chartbeat.com *.bbc.co.uk *.bbci.co.uk *.bbc.com *.bbci.com *.edigitalsurvey.com edigitalsurvey.com *.optimizely.com cdn-assets-prod.s3.amazonaws.com twitter.com *.twitter.com *.twimg.com riddle.com *.riddle.com;
  connect-src 'self' edigitalsurvey.com *.bbc.co.uk *.bbci.co.uk *.bbc.com *.bbci.com *.edigitalsurvey.com edigitalsurvey.com *.optimizely.com cdn-assets-prod.s3.amazonaws.com twitter.com *.twitter.com *.twimg.com;
  font-src 'self' *.bbc.co.uk *.bbci.co.uk *.bbc.com *.bbci.com *.edigitalsurvey.com edigitalsurvey.com *.optimizely.com cdn-assets-prod.s3.amazonaws.com twitter.com *.twitter.com *.twimg.com;
  form-action 'self' *.bbc.co.uk *.bbci.co.uk *.bbc.com *.bbci.com *.edigitalsurvey.com edigitalsurvey.com *.optimizely.com cdn-assets-prod.s3.amazonaws.com twitter.com *.twitter.com *.twimg.com;
  img-src 'self' app.optimizely.com cdn.optimizely.com data: https: http:;
  script-src 'self' static.chartbeat.com static2.chartbeat.com 'unsafe-inline' 'unsafe-eval' *.bbc.co.uk *.bbci.co.uk *.bbc.com *.bbci.com *.edigitalsurvey.com edigitalsurvey.com *.optimizely.com cdn-assets-prod.s3.amazonaws.com twitter.com *.twitter.com *.twimg.com optimizely.s3.amazonaws.com;
  style-src 'self' 'unsafe-inline' *.bbc.co.uk *.bbci.co.uk *.bbc.com *.bbci.com *.edigitalsurvey.com edigitalsurvey.com *.optimizely.com cdn-assets-prod.s3.amazonaws.com twitter.com *.twitter.com *.twimg.com" />

不幸的是，如果网页有自己的 CSP，它将阻止书签脚本。