thphd当初没加内容安全策略的原因是什么?

可能是不知道有这种技术。

据我观察很多论坛要么没配置CSP，要么自带的csp聊胜于无。允许script src unsafe-inline这样的指令，和没配置没有太大区别。

允许script src unsafe-inline这样的指令

"script src"是什么意思?意思是script-src?

没错。