Новый CDN-эндпоинт Office.js включает Trusted Types и отключает MicrosoftAjax

Независимый монитор silentship сравнил старый и новый эндпоинты Office.js: обе версии отдают одну сборку 16.0.20606.15070 с идентичными хост-файлами, но загрузчик нового эндпоинта включает флаги isOsfSecurityDefaultsEnabled и отключает osfLoadMsAjax. Из-за этого аддоны, неявно зависящие от MicrosoftAjax (Sys.*, Type.registerNamespace), падают с ReferenceError, а страницы со строгим CSP должны разрешить политику officejs.

• Оба эндпоинта отдают сборку 16.0.20606.15070, хост-файлы совпадают по SHA-256
• Различия только в загрузчике: isOsfSecurityDefaultsEnabled = true и osfLoadMsAjax = false
• Аддоны с зависимостью от MicrosoftAjax получат ReferenceError на новом эндпоинте
• Для строгого CSP нужно разрешить политику officejs и домен *.static.microsoft