Google One-Tap未迁移FedCM问题咨询：跨域iframe误判排查

可能的原因 #

• Google的自动检测逻辑可能误判了页面中非One-Tap相关的第三方iframe：比如广告、统计工具、社交插件这类iframe，若未添加allow="identity-credentials-get"属性，会被系统判定为可能阻断FedCM体验。
• Content Security Policy（CSP）配置存在限制：哪怕你没手动用iframe，CSP中的frame-src、child-src、script-src等指令如果没有允许FedCM所需的域名（如accounts.google.com），或者缺少头像加载所需的*.googleusercontent.com，会触发检测预警。
• One-Tap JS库底层动态创建iframe：纯JS实现不代表没有iframe——Google One-Tap的官方脚本可能会在运行时动态插入iframe，这类自动生成的iframe如果没有带上allow="identity-credentials-get"属性，也会被检测到。

解决方向 #

• 排查所有第三方iframe：遍历页面中所有嵌入的iframe（不管是不是你自己加的），给每个都加上allow="identity-credentials-get"属性。
• 调整CSP配置：
  • 在script-src和frame-src中添加https://accounts.google.com；
  • 在img-src中添加https://*.googleusercontent.com（用于加载用户头像）；
  • 若存在frame-ancestors指令，确保包含accounts.google.com；
  • 测试环境可临时放宽CSP，验证是否能通过检测，再逐步缩小范围定位具体限制项。
• 处理动态生成的iframe：如果是One-Tap脚本自动创建的iframe，可尝试在初始化One-Tap的代码中，手动给动态生成的iframe添加allow="identity-credentials-get"属性（比如监听DOM变化，找到对应的iframe后设置属性）。
• 重新触发FedCM审核：登录Google Cloud Console，找到身份认证相关配置，尝试重新启用FedCM，并提交配置说明已完成修复。
• 查看邮件中的检测详情：Google发送的邮件里通常会附带检测报告链接，里面会明确指出具体的问题点（比如哪个iframe违规、哪条CSP不符合），按报告针对性修复效率更高。

内容的提问来源于stack exchange，提问作者user1941537