inline scriptは138でブロックされるらしいな
https://attackanddefense.dev/2025/04/09/hardening-the-firefox-frontend-with-content-security-policies.html
evalについても最終的にブロックしたいと言及されてるけどスケジュールは未定