什么是宽松模式内容安全策略
打开一个网页，浏览器开始加载各种资源——图片、脚本、样式表。这些内容从哪儿来？是否可信？内容安全策略（CSP）就是用来回答这些问题的防线。而“宽松模式”则是其中一种配置方式，它不像严格模式那样处处设防，而是允许更多来源加载资源，方便开发的同时也埋下隐患。
比如你在咖啡馆连上公共Wi-Fi，打开某个新闻站，页面弹出奇怪的广告窗口，甚至自动跳转到购物网站。这可能就是因为站点用了宽松的CSP策略，让第三方脚本能轻易注入执行。
常见的宽松配置长什么样
很多网站为了快速上线或兼容老旧系统，会在HTTP响应头中设置这样的CSP规则：
Content-Security-Policy: default-src *; script-src *; style-src *; img-src *;这里的星号代表“所有来源都允许”，相当于大门敞开，谁都能进。虽然页面能正常显示各种外部资源，但攻击者也可以趁机把恶意脚本塞进来，窃取你的登录信息或者监控浏览行为。
为什么有人坚持用宽松模式
不是每个团队都有精力做精细化管控。小公司做官网时，可能直接用了现成模板，里面嵌了七八个统计工具、客服插件和社交分享按钮。如果一个个配白名单，光调试就得花几天。于是干脆先放开，等以后再优化——结果“以后”一直没来。
还有些老系统依赖CDN上的公共库，比如jQuery或Bootstrap，而这些资源地址分散在不同域名，维护人员怕改完之后页面崩溃，索性维持现状。
用户能感知到区别吗
表面上看不出来。页面照样加载，功能也都正常。但后台可能已经悄悄运行着你不想要的东西。比如某电商站点设置了script-src *，看起来只是为了让广告代码跑起来，但实际上任何中间人攻击都可以利用这个漏洞插入挖矿脚本，让你的手机发热变卡。
浏览器开发者工具里能看到CSP警告，普通用户不会去查。就像家里的门锁坏了，只要没丢东西，很多人就选择暂时不管。
更合理的做法是什么
哪怕不能一步到位实现严格策略，也可以逐步收紧。例如先把*换成具体的域名列表：
Content-Security-Policy: default-src 'self'; script-src https://cdn.example.com https://stats.tracker.com; img-src *;这样至少保证脚本只能从已知可信的地址加载，其他来源的代码一律拦截。现代浏览器会直接阻止违规资源执行，并在控制台报错，给开发者反馈机会。
对于必须动态加载脚本的情况，可以用nonce机制或hash校验，而不是粗暴地放开整个script-src。安全性提升的同时，不影响核心功能运行。