script-src-attr (csp)
<script>
内のevent handlerを制限