#security headers

CSP 不要先封鎖：用 Report-Only 找出真實依賴，再逐步收緊

CSP 的 Report-Only 階段不是暫停保護，而是用違規報告辨認真正依賴、雜訊與舊寫法；之後再以 nonce、hash 與最小權限安全上線。