浏览器允许使用来自外部网站的脚本标签。这是因为假定您想要加载该功能。但是,所加载的脚本不能直接与外部域通信(除非采用CORS的XHR同源策略)。因此,不应允许未经检查的用户输入从外部站点加载脚本。外部脚本可能会执行您不希望执行的操作,但如果它们来自受信任的来源,则应该是安全的。如果Google被发现通过其CDN进行注入,那么将会有严重的后果,我怀疑这种情况根本不会发生,即使发生了,也会比您注意到问题更快地得到纠正。
不,这并没有违反跨域请求的规则。当您从Google的CDN中包含jQuery时,您只是将一个资源包含到您的页面中(就像链接到图像一样)。这不属于您所指的同源策略安全概念,该安全概念主要涵盖XHR(ajax)请求。