server側でcross-originからのアクセスが許可されていればclient側のCSP設定に関係なくfetchでき

を突破しなくてもfetchできた？

await fetch('https://keicho.herokuapp.com/api/web/create/?mode=normal')

await fetch('https://keicho.herokuapp.com/api/web/', {
  method: 'POST',
  headers:  {
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({
    talk: 'gsf3dvGQI8xraU7kEdFp',
    text: 'scrapboxのCSPをTamperMonkeyなしで突破したい',
    user: 'nobody',
  }),
});

についての理解が間違えていたようだ

client側で制限がかかっていても、server側で許可されていればfetchできる