font-src 配置了还是报 CSP 字体加载错误？

我在项目里加了 Content Security Policy，字体文件老是被拦，明明 font-src 已经配了 cdn.jsdelivr.net，但浏览器控制台还是报错说违反策略。

我用的是 Webpack 打包的 React 项目，字体是从 CDN 引入的。试过把 ‘self’、https: 都加上，甚至用了 * 通配符（虽然知道不安全），但还是不行。是不是哪里漏了？

const style = document.createElement('style');
style.textContent = <code>
  @font-face {
    font-family: &#039;CustomFont&#039;;
    src: url(&#039;https://cdn.jsdelivr.net/npm/@example/font.woff2&#039;) format(&#039;woff2&#039;);
  }
</code>;
document.head.appendChild(style);