Os scripts parecem ser tratados por domínio. Portanto, os scripts de cada domínio são bloqueados ou executados dependendo de qual zona eles estão.
Eu escrevi uma página de teste. rr () e qq () ambos são iguais ao script in-line. Ao mover domínios entre zonas, é fácil ver que alguns são bloqueados e outros não.
<html>
<!-- Put yourjavascript.com temporarily into the untrusted zone -->
<script src="https://code.jquery.com/jquery-2.2.3.min.js"></script><scripttype="text/javascript" src="http://yourjavascript.com/51158106415/scare.js"></script><scripttype="text/javascript" src="script.js"></script>
<p id="one">Inline Script <span>Blocked</span></p>
<p id="two">Local Script <span>Blocked</span></p>
<p id="three">Trusted Script <span>Blocked</span></p>
<p id="four">Untrusted Script <span>Blocked</span></p>
<script>
//inline
document.getElementById('one').getElementsByTagName('span')[0].innerHTML = "Allowed";
</script>
<script>
//local
rr();
</script>
<script>
//trusted
$('#three span').html("Allowed");
</script>
<script>
//untrusted
qq();
</script>
</html>