Если на вашем сайте есть пользовательский HTML, то обязательно выставите заголовки Content-Security-Policy с белым списком откуда можно запускать JS и CSS.

Если у вас есть инлайн <script>, то можно для него генерировать хеш, как у меня в скрипте.

github.com/hplush/slowreader/p