當你在網頁中使用 JavaScript 產生下載連結、預覽圖片或啟動 Web Worker 時，常會接觸到 blob: 開頭的 URL。然而，這種動態生成的本地資源在嚴格的 CSP（Content Security Policy）政策下，往往會被瀏覽器封鎖。本文將帶你深入了解 Blob URL 的原理、用途與常見問題，並說明如何正確設計 CSP 設定，確保功能正常運作又兼顧安全性。