我了解CSP警告JSONP端点的原因，因为如果我的站点具有XSS vuln，那么拥有JSONP端点应该会使我的站点成为xss。但是为什么要使用Angular库呢？任何人都可以演示使用Angular库导致xss的有效载荷吗？
您可以像使用JSONP一样触发Angular处理程序。
由于白名单域可以具有一定范围的绕过，特别是如果它们被广泛使用，例如CDN或API（通常用于托管Angular，JSONP或重定向），它们通常会使您的策略无用。
根据您的用例，策略中的域列表可能会变得非常大，并使其难以维护和监视这些绕过。
相反，建议您使用CSP随机数。CSP缓解器here的作者解释