//td[descendant-or-self::*/starts-with(text(),'TEXT')][1]/following-sibling::*[1]/descendant-or-self::*/text()
<div>Title</div>
<div>Text1<b>Text2</b></div>
<div><b>Title</b></div>
<div>Text <span>text</span></div>
Делайте как вам удобнее, только на публичных доменах типа github.com открывать *.github.com не комильфо
Нельзя, для инлайн-стилей в теге требуется 'unsafe-inline'
Allows the use of inline resources, such as inline<script>
elements, javascript: URLs, inline event handlers, and inline<style>
elements.
А 'unsafe-unline' как раз и нехорошо разрешать, тк скрипт из неразрешённого хост-источника получает контроль над HTML.
У сайта может быть множество поддоменов, в том числе и динамических.
Потому, что такой встроенный скрипт может появиться на странице без ведома вебмастера.
<img style="something">
- можно, согласно одному лишь default-src domain.com, а <style>something</style>
в том же самом HTML-файле - нет, надо дописывать unsafe-inline? Уж если злоумышленник может модифицировать наш HTML-файл, то ему фиолетово, как именно XSSить.
Про допустимые типы FS производитель молчит...