CSP frame-ancestors通配符使用失败问题咨询

你的问题核心是CSP的frame-ancestors指令不支持路径级别的匹配，包括通配符形式的路径规则，具体说明如下：

1. 规则写法无效的原因
   你配置的frame-ancestors 'self' https://app.domain.com/project/123/*;不符合CSP规范——frame-ancestors仅能针对**源（协议+域名+端口）**进行匹配，路径部分的任何规则（包括通配符）都会被浏览器忽略，相当于你只配置了允许'self'和https://app.domain.com这两个源嵌入，而非指定路径下的页面。这种不符合规范的写法也可能导致浏览器解析规则时出错，触发你看到的拒绝嵌入报错。

2. 通配符的生效范围
   是的，frame-ancestors中的通配符仅在协议、子域名、端口层级生效：

• 比如*.domain.com可匹配所有子域名
• https://*.domain.com:8080可匹配指定端口的所有子域名
• 但无法通过通配符或具体路径来限制到域名下的某个目录或页面

3. 实现路径级限制的替代方案
   如果必须限制仅允许https://app.domain.com/project/123/开头的页面嵌入，仅靠CSP做不到，可采用以下方式：

• 前端JS校验：在你的被嵌入页面中，通过window.parent.location.href获取父页面URL，判断是否以https://app.domain.com/project/123/开头，若不符合则执行页面隐藏、跳转或提示操作。
• 服务器端校验：检查请求的Referer请求头（注意部分浏览器可能禁用Referer），若Referer不在指定路径范围内，返回403状态码或调整响应头。

内容的提问来源于stack exchange，提问作者Ela Buwa