CSPは外部からどのソースを取得するのか網羅しないと判断できないから、この対策は最後に着手しとこ