特性: CSP 应允许同时使用 `Content-Security-Policy-Report-Only` 和 `Content-Security-Policy-Report-Only`

目前有一个选项允许仅报告违规行为: options.reportOnly 是一个布尔值,默认为 false。如果为 true,将设置 Content-Security-Policy-Report-Only 头部。但是根据 https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP#testing_your_policy,应该允许同时包含 Content-Security-Policy 和 Content-Security-Policy-Report-Only 头部。