ベンダー強制 iframe + CSP（Epic MyChart）

Epic MyChart は患者ポータルを強制 CSP 配下＋ベンダー iframe で配信。MyChart は Epic 配信・強制 CSP。

強制 CSP + iframe の二重ブロック

トップ面の CSP は script-src 'self' のみ（widget origin 無し）→ si.js ロード不可。仮に注入してもポータル本体は別 iframe 内でクリップされ、その iframe も独自 CSP。第三者注入は二重に不可。