Und was ist, wenn ..

"... und definiert anschließend über den HTTP-Header in einer
Whitelist, 
aus welchen Quellen seine Seite Skripte nachladen darf."

anschließend aus einer Quelle, die in der Whitelist steht,
per Script Schadcode nachgeladen wird? (Schadcode über Werbung z.B.)
?

Diese Whitelist müsste demnach bei werbeträchtigen Seiten
quasi pausenlos aktualisiert werden.
Oder?