andreywin
Привет. Если у тебя нет доступа к серверу и менять CSP никак, то обойти его почти нереально. Ты правильно пробовал инъекции через data: и blob:, браузеры сразу прописывают жесткую блокировку, особенно в новых версиях Firefox и Chrome. Про сабдомены и relay читал, но если структура простая и контроль минимальный, это никак не поможет.

JSONP и посредники — да, это уже костыль и дополнительная головная боль, да и не факт, что сработает при такой базовой настройке CSP. Если нет nonce или hash, то это упрощает ситуацию, но при этом блокируются любые внешние скрипты, так что XSS тоже мимо.

iframe и postMessage можно пытаться использовать, но опять же без контроля сервера это максимум запутать логику, а не обойти CSP напрямую. Лично я бы не стал тратить много времени на обход, если нельзя легально менять заголовки — проще адаптировать фронт под эту защиту или согласовать изменения с хостером, если это возможно. В противном случае реально тупиковая ситуация.