为何CSP的frame-src *会覆盖CORP: same-origin的iframe嵌入限制？

背景信息 #

Widget服务返回的响应头：

Content-Security-Policy: frame-src *;
Cross-Origin-Resource-Policy: same-origin
Cross-Origin-Embedder-Policy: require-corp

实际现象：跨域（不同主机/端口）的父页面仍能成功嵌入该Widget，未触发CORP拦截。

问题1：为何frame-src *会覆盖CORP: same-origin？该行为是否有文档说明？ #

首先纠正核心误解：frame-src *并没有覆盖CORP: same-origin，二者的作用对象和场景完全不同：

• Cross-Origin-Resource-Policy (CORP)是**资源端（Widget）**的策略，用来限制哪些源可以加载这个资源（比如作为iframe嵌入、作为脚本/样式加载）。
• Content-Security-Policy (CSP)的frame-src指令，若在Widget的响应头中设置，它约束的是Widget页面自身可以嵌入哪些源的iframe，和外部页面能否嵌入这个Widget毫无关系。

你看到跨域嵌入成功，根本原因是混淆了CSP的作用范围——你把控制内部iframe的指令加在了资源端，它完全不会影响外部页面的嵌入行为。

问题2：同时设置CSP的frame-src与CORP时，二者如何交互？ #

二者属于不同层面的安全策略，作用场景互不冲突：

1. CORP的作用时机：当外部页面尝试加载Widget资源时，浏览器会检查Widget的CORP头，判断当前请求的源是否被允许加载该资源。
2. CSP frame-src的作用时机：
   • 若为父页面的CSP：约束父页面可以嵌入哪些源的iframe，优先级高于资源端的CORP（如果父页面CSP不允许嵌入该Widget的源，直接拦截，不会发起请求）。
   • 若为Widget自身的CSP：仅约束Widget页面内部可以加载哪些源的iframe，和外部页面能否嵌入Widget无关。

你的场景中，Widget的frame-src *完全不影响外部页面嵌入它的行为，因为它管的是Widget自己内部的iframe加载。

问题3：如何同时 enforce CORP限制与CSP策略以阻止跨域嵌入？ #

要实现阻止跨域嵌入的目标，可从资源端和嵌入端两个层面配合，或单独通过资源端策略实现：

方案1：确保CORP策略在资源端正确生效

你的CORP: same-origin配置本身是正确的，需确认以下几点：

• 父页面的源和Widget的源确实是跨域的（源的判定标准是协议+域名+端口三者完全一致，任一不同即为跨域）。
• 浏览器没有缓存旧的响应头，强制刷新页面并确认响应头确实包含CORP: same-origin。
• COEP: require-corp主要影响资源的跨域加载是否需要CORP/CORS验证，对于iframe嵌入来说，CORP本身已足够控制，无需额外调整。

方案2：结合嵌入端的CSP策略（若有权限控制父页面）

如果可以控制父页面的响应头，添加CSP策略限制只能嵌入同源iframe：

Content-Security-Policy: frame-src 'self';

这样父页面将无法嵌入任何跨域的iframe，包括你的Widget。

方案3：资源端补充X-Frame-Options（兼容旧浏览器）

除CORP外，可添加X-Frame-Options头增强兼容性，旧浏览器可能依赖该策略阻止跨域嵌入：

X-Frame-Options: SAMEORIGIN

现代浏览器会优先遵循CORP，但该头可覆盖更多旧版本浏览器场景。

内容的提问来源于stack exchange，提问作者venkat surya