CSP form-action 只保護目標，並非應用授權

CSP form-action 只保護表單提交目標，並不替代伺服器授權或 CSRF 防護。

• - 功能範圍：僅檢查表單提交前的目標是否在允許清單內。
• - 限制：無法阻止指令碼直接呼叫 API，也無法保護瀏覽器擴充套件或未送達政策的頁面。
• - 最佳實踐：結合伺服器端驗證、CSRF 防護、授權檢查，並在政策中加入報告端點以監控違規。