@inject-into contentはCSPは回避できてもページ側スクリプトの関数やオブジェクトには直接手出しできなくなるので完全な代替にはならないのよね