如何通过Link头确认103响应中CSP对预加载资源的限制
服务器在发送103 Early Hints响应时若包含Content-Security-Policy头，会限制浏览器仅加载同源资源，需检查该头是否允许预加载目标。
检查103响应中的CSP头与Link头组合
在捕获103 Early Hints响应时，需同时查看Content-Security-Policy头与Link头。例如，若响应包含Content-Security-Policy: style-src: self; Link: </style.css>; rel=preload; as=style，则CSP头限制了预加载仅限于同源。浏览器会根据CSP规则决定是否开始获取资源，若CSP未明确允许，预加载可能被阻止。
验证时需确认Link头中指定的资源路径与CSP策略中的允许源是否匹配。如果CSP头仅允许self，而Link头指向跨域资源，浏览器将忽略该预加载提示。正确的配置应确保Link头中的资源路径在CSP允许的范围内，否则预加载操作无法执行。
对比最终响应中的CSP设置与预加载结果
最终响应可能设置不同的CSP策略，例如Content-Security-Policy: style-src: none。此时，即使资源已在103响应中预加载，浏览器也不会使用该资源进行页面渲染。需对比最终响应的CSP头与103响应的CSP头，确认是否存在冲突或限制。
判断预加载是否生效的关键在于最终响应的CSP策略。如果最终响应的CSP禁止加载该资源，预加载的资源将被缓存但不会应用。需检查最终响应的Content-Security-Policy头，确保其允许Link头中指定的资源类型和来源，否则预加载将无效。
确认浏览器对同源策略的执行逻辑
浏览器在处理103响应时，会根据CSP头强制执行同源策略。如果103响应中的CSP头未明确允许跨域资源，浏览器将仅加载同源资源。需验证请求的源与Link头中资源的源是否一致，若不一致，预加载请求将被丢弃。
测试时可通过修改CSP头中的style-src值，观察预加载行为的变化。例如，将style-src设置为*可允许跨域预加载，而设置为self则仅允许同源。需确保CSP头的设置与Link头的资源路径匹配，否则预加载可能失败。
复现检查步骤与结果判断
复现步骤：使用抓包工具捕获103响应，查看Content-Security-Policy头与Link头。确认Link头中包含preload指令，且CSP头允许该资源。对比最终响应的CSP头，确认是否允许加载该资源。验证请求源与资源路径是否一致。
结果判断：如果103响应的CSP头允许同源预加载且最终响应的CSP头未禁止，浏览器应成功加载资源。如果CSP头限制同源或最终响应的CSP禁止加载，预加载资源将不会被使用。需确保CSP头的设置与Link头的资源路径匹配，否则预加载无效。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。