html - 哪个优先，http-equiv 还是 HTTP 响应 header ？

Question

这个问题似乎是重复的，但经过一番研究，没有找到可靠的答案。子问题是:

1. 当http-equiv和HTTP响应头key相同，对应的value冲突时，哪个优先？
2. 第一个问题是否有任何规范，即使浏览器没有遵循规范？
3. 如果没有规范，会发生什么？标准组有讨论吗？这种行为肯定需要在某些标准中定义。

以下是一些研究工作:

• 我检查了4.2.5.3 Pragma directives在 HTML 规范中，但未提及优先级(http-equiv="set-cookie" 除外，在这种情况下，真正的 HTTP 响应 header 优先)。
• 在response header VS meta tag ，似乎真正的 HTTP 响应 header 优先于 Content-Type
• 在Which X-UA-Compatible takes precedence? Http-header or Meta-tags? ，似乎 http-equiv 优先于 X-UA-Compatible

在我看来，这两个决定都有道理，但难道没有一个普遍的答案吗？

Answer 1

从文档中可以看出，Content-Security-Policy 在 http-equiv 与 http header 中的优先级是什么。我已经在 Firefox 62.0 上进行了实验性测试:

<meta http-equiv="Content-Security-Policy" content="script-src 'self' https://www.google-analytics.com/analytics.js"/>
<script src="https://www.google-analytics.com/analytics.js"></script>
<script src="https://connect.facebook.net/en_US/fbevents.js"></script>

当未设置 HTTP header 时，控制台仅争论 facebook.net。

使用 header set Content-Security-Policy "script-src 'self' https://connect.facebook.net/en_US/fbevents.js" 控制台争论 www.google-analytics.com 和 facebook.net。

当删除 http-equiv 并保留 facebook.net 的 header 时，控制台会正确地争论谷歌分析。

由此看来，http-equiv 和 http header 的组合似乎被检测为重复定义，根本无法识别。