인라인 스크립트 허용 없이 신뢰한 스크립트만 실행하도록 하는 CSP 구성은?

1. 1

   `script-src 'self' 'unsafe-inline'`로 같은 출처와 모든 인라인 스크립트를 허용한다.

2. 2

   신뢰 도메인 전체를 호스트로 허용해 그 위치에 업로드된 임의 스크립트도 실행한다.

3. 3

   요청별 nonce 또는 승인된 코드의 hash를 `script-src`에 지정하고 일치하는 스크립트만 실행한다.

4. 4

   동일 정책을 Report-Only로만 전송하고 위반 스크립트의 실제 실행은 계속 허용한다.