こんだけ言って CSP 関係なかったらただただ恥ずかしいねと思い、試しに security.csp.enable を一時的に false にしてみたらユーザスクリプトばっちり適用される感じになってたので、関係あるとみていーのではとなったよ。お外に出るので続きはまた今度だよ。