用iframe在自有网站嵌入TikTok遇CSP报错，官方指南是否过时？

核心结论 #

TikTok官方嵌入指南没过时，你的嵌入方法也有效，报错是你的网站内容安全策略（CSP）限制了内联脚本执行导致的，和TikTok嵌入逻辑无关。

报错原因 #

TikTok播放器的iframe内部包含内联脚本，但你的网站CSP的script-src指令中，既没添加允许内联执行的'unsafe-inline'关键字，也没指定对应脚本的哈希值或nonce，所以浏览器直接阻止了脚本运行，触发了报错提示。

解决方法 #

你需要调整网站的CSP配置，二选一即可：

• 推荐方案：在script-src中添加报错提示里的哈希值：'sha256-Rh1yD1vybhPJYDImLfN6osJk66wUwzS2EFGJ64u93gA='，这样只允许这个特定的内联脚本执行，安全性更高。
• 简化方案：在script-src中加入'unsafe-inline'，但这会放宽对所有内联脚本的限制，存在安全风险，不建议使用。

补充说明 #

你提供的iframe嵌入代码本身没有问题，只要调整CSP配置后，播放器就能正常加载运行。

内容的提问来源于stack exchange，提问作者Treektus