尽管没有Content-Security-Policy标头，仍在应用CSP

Question

当检查请求/响应显示没有发送NoticationCenter标头时，我很难弄清为什么将CSP应用于页面（见屏幕截图）。

该应用程序是Jenkins实例，用于提供由作业生成的一些静态HTML内容，并且以前具有如下所述的限制：https://wiki.jenkins.io/display/JENKINS/Configuring+Content+Security+Policy。这修复了由于CSP限制而无法显示静态内容的原始实例。但是，现在它又回到了另一个位置，原始解决方案无效（由于明显的原因，因为没有标题可修改）。以防万一，我已经验证了自定义CSP值是否仍在Jenkins中设置。该问题在所有Firefox 64，Chromium 71和Chrome 55中都会发生。

如何确定CSP的起源？浏览器现在是否默认开始应用它？我认为，CSP的全部目的在于可以选择加入CSP，如果没有，则可以降级为同源策略。

编辑：来源中也没有Content-Security-Policy。

Answer 1

最终弄清楚了：尽管我禁用了非缓存重装，但事实证明这是一个缓存，显然我做的还不够。那是在隐藏原始请求，该原始请求确实有CSP标头。在DevTools和设置中单击足够的内容后，我能够重新发出原始请求，并可以在请求视图中看到它，以查看正在应用的内容。