CSP: агент добавляет unsafe-inline чтобы «скрипт ожил»

Nonce/hash. Ослабить политику — не фикс XSS.

Сначала почему блокирует, потом точечный source.

Как

@ на заголовок и шаблон.

Стоп

unsafe-eval на весь сайт.

См. также: ревью.

Мы используем файлы cookie для того, чтобы предоставить пользователям больше возможностей при посещении сайта. Оставаясь на сайте, Вы соглашаетесь на обработку файлов cookie. Подробнее об условиях использования.