Content Security Policy form-action 'self' 同站跨子目录表单提交失败问题

核心原因 #

Chrome和Edge对CSP指令form-action 'self'的解析严格限制为当前页面所在路径的同级及子级目录，姐妹目录（比如当前页面在/xxx/下，提交到/sales/）不在'self'的允许范围内；而Firefox对'self'的规则更宽松，包含同站所有路径，因此不会触发拦截。

可行解决方案 #

1. 调整CSP的form-action指令 #

在.htaccess的CSP规则中，将目标目录的完整源路径加入form-action，同时保留'self'适配其他表单：

Header set Content-Security-Policy "form-action 'self' https://OURDOMAIN.net/sales/;"

如果全站存在多个跨目录提交的需求，可直接允许同站所有路径，用站点源替代具体目录：

Header set Content-Security-Policy "form-action 'self' https://OURDOMAIN.net/;"

注意：若站点同时支持HTTP和HTTPS，需同时添加两个协议的源，优先明确源而非使用宽松规则，保障安全性。

2. 排查CSP规则优先级 #

• 检查页面是否通过<meta>标签单独设置了CSP，这种情况下.htaccess的规则会被覆盖，需在<meta>的content中同步添加目标路径：

<meta http-equiv="Content-Security-Policy" content="form-action 'self' https://OURDOMAIN.net/sales/">

• 验证.htaccess修改是否生效：打开Chrome开发者工具→「网络」标签，刷新页面后查看响应头的Content-Security-Policy字段，确认新规则已加载。

3. 规范表单路径写法 #

确保表单的action属性使用绝对路径（带域名或根路径），避免相对路径引发的解析歧义：

<form action="https://OURDOMAIN.net/sales/printlist.php" method="post">
<!-- 或根路径写法 -->
<form action="/sales/printlist.php" method="post">

内容的提问来源于stack exchange，提问作者Mm-Art-In