CSP 本身并非数据防泄漏的绝对保证，它约束的是页面自身的资源加载行为，而非浏览器扩展或操作系统层面的监控。