Зачем REST API нужен CSP?

Как упомянул @Nick в разделе комментариев, CSP может указывать разрешенные домены, и для этого необходим TLS. Но, кроме того, даже если ваш API не требует запроса от браузеров, к нему можно получить доступ из браузеров.

Если вы не укажете CSP, вы не разрешите доступ к вашему сайту из браузеров, которые отказываются обслуживать неуказанные серверы.

Предполагая, что ваш API находится на домене1, а у меня есть домен2, где я хочу запрашивать конечные точки с вашего сервера, вы исключаете мой домен2 из этого на стороне клиента и заставляете таких третьих лиц отправлять свои запросы со стороны сервера. , что может быть для них невыполнимо. Если это намеренно, то все хорошо. Но если вы хотите, чтобы моему домену было разрешено запрашивать API вашего домена из любого приложения, браузера или нет, вам необходимо указать это.

Если вы хотите разрешить запросы из любого источника, вам также необходимо указать CSP соответствующим образом.

Таким образом, речь идет не о том, можно ли запрашивать ваш API из других источников, кроме браузеров, а о том, хотите ли вы разрешить доступ к вашему сайту из клиентских запросов от браузеров, хотите ли вы обеспечить соблюдение TLS и тому подобное.