支付合规

支付页CSP实测53个站：45个配了，只有5个管脚本

内容安全策略的覆盖率是个骗人的指标。87个DTC与电商站的购物车页里，56个拿到真页面，47个带了这条响应头，但其中42条的长度落在49到175字节之间、内容一字不差，真正约束脚本来源的只有5个。文中给出长度分布、第三方脚本清单、完整性校验的真实归属，以及一份两小时能做出来的脚本基线。