CSP Report-Only 和违规报告怎样用于安全治理？
通过 Content-Security-Policy-Report-Only 观察潜在违规，再逐步收紧策略，避免上线即阻断真实资源。
参考答案
Content-Security-Policy-Report-Only 只报告违规，不阻止资源执行，适合在正式启用前发现脚本、样式、图片和第三方服务依赖。正式 CSP 才会真正限制浏览器行为。
策略应从明确的资源来源开始收紧，逐步处理内联脚本、动态代码、nonce/hash、第三方分析和 iframe。报告端点会收到浏览器生成的数据，必须限制日志大小、做去重和脱敏，不能把报告内容直接当成可信输入。
Report-Only 发现“没有报告”也不代表策略完整；浏览器支持、未覆盖的页面和未触发的路径都可能隐藏问题。部署正式策略后仍应监控误报、业务失败和新依赖。