Dies ist eine Frage, die am besten in den NoScript-Support-Foren aufgeworfen wird. Allerdings kann ich einige der Unterschiede kommentieren:
 CSP ist serverseitig (muss an jedem Server konfiguriert werden, sendet Berichte an den Server), während ABE clientseitig ist (konfiguriert im Browser, Protokollergebnisse in der Fehlerkonsole).
 CSP erlaubt oder blockiert nur Inhalte, während ABE andere Aktionen wie die Stripping-Authentifizierung durchführen kann.
 CSP wurde in erster Linie entwickelt, um Cross-Site-Scripting und andere Injektionen zu stoppen, während ABE in erster Linie entwickelt wurde, um Cross-Site-Request-Fälschung zu stoppen (aber kann XSS/Injektionen auch besiegen).
 CSP erlaubt Wildcards, ABE erlaubt entweder Wildcards oder reguläre Ausdrücke.
 CSP gibt nur Hostnamen an, ABE kann vollständige Adressen einschließlich Protokoll und Pfad angeben.
 ABE weiß über Intranet vs Internet-Adressen und kann den Datenverkehr zwischen ihnen steuern (in der Tat, es tut dies standardmäßig).
 CSP versucht nicht, Anfragen aus privilegierten Code zB Browser-Erweiterungen zu kontrollieren. ABE kann, obwohl es für privilegierten Code immer möglich ist, dies zu besiegen, so kann man sich nicht darauf verlassen, vor bösartigen Addons zu schützen.
 ABE kann zwischen verschiedenen Arten von Objekteinschlüssen und verschiedenen HTTP-Methoden unterscheiden.
 Sie können unabhängig arbeiten; wenn entweder etwas blockiert wird, wird es blockiert.
 Ich kenne keine Metriken darüber, wie weit CSP bereitgestellt wird, und ich habe auch keine Ahnung, wie viele NoScript-Benutzer sich die Zeit nehmen, ABE zu konfigurieren (was nicht sehr viel out-of-the-box macht).