style-src-attrstyle-src-attr 은 요소의 인라인 style 속성(예: <div style="...">)에 적용되는 CSS만 제어하는 세분화된 지시어입니다. 스타일시트나 <style> 블록은 담당하지 않습니다. 미지정 시 style-src → default-src 순으로 폴백합니다.
인라인 style 속성은 스타일 인젝션 공격(예: background:url() 로 데이터를 유출하거나 UI 를 겹쳐 클릭재킹을 유도)의 통로가 될 수 있습니다. style-src-attr 'none' 으로 설정하면 마크업에 주입된 인라인 스타일 실행을 차단해 이런 위험을 낮춥니다. 반대로 'unsafe-inline' 은 인라인 style 속성을 허용합니다.
실무 적용 시 주의점은, 많은 UI 코드가 element.style.xxx 나 style 속성을 통해 동적 스타일을 부여한다는 것입니다. style-src-attr 을 'none' 으로 잠그면 이런 인라인 스타일이 막혀 레이아웃이 깨질 수 있으니, 스타일시트 클래스 토글 방식으로 리팩터링한 뒤 적용하는 것이 안전합니다.
Content-Security-Policy: style-src-attr 'none'