Chrome访问无样式sitemap.xml触发Content Security Policy错误求助

问题原因 #

这不是Chrome的bug，而是浏览器对XML文件的默认处理逻辑差异导致的：

• Chrome会自动为XML文件应用内置的内联样式来实现格式化显示（比如层级缩进、标签高亮），但你的网站CSP策略设置了style-src 'self'，禁止未授权的内联样式，因此触发了错误。
• Firefox虽然也会对XML做格式化渲染，但它的内置样式不受页面CSP规则限制，所以不会抛出错误。
• Google的CSP评估工具仅检测页面主动加载的资源，不会模拟浏览器对XML的内置样式渲染逻辑，因此没发现这个问题。

可实施的修复方案 #

1. 针对sitemap.xml单独调整CSP（推荐） #

在服务器配置中，给sitemap.xml路径单独设置宽松的CSP规则，允许Chrome内置XML样式对应的哈希值：
以Nginx为例，在配置文件中添加：

location = /sitemap.xml {
    add_header Content-Security-Policy "style-src 'self' 'sha256-47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU='";
}

Apache配置示例：

<Files "sitemap.xml">
    Header set Content-Security-Policy "style-src 'self' 'sha256-47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU='"
</Files>

这种方式仅放宽单个文件的CSP限制，不会影响全站安全性。

2. 修改XML文件的Content-Type #

在服务器上给sitemap.xml设置Content-Type: text/plain，让Chrome直接显示原始文本，不应用内置格式化样式：
Nginx配置示例：

location = /sitemap.xml {
    add_header Content-Type text/plain;
}

缺点是XML失去了格式化显示的效果，用户查看时体验稍差。

3. 放宽全站CSP（不推荐） #

如果全站对样式安全要求不高，可以在全局CSP中添加'unsafe-inline'：

style-src 'self' 'unsafe-inline';

但这会降低全站的安全性，可能导致恶意内联样式的注入风险，仅在必要时使用。

内容的提问来源于stack exchange，提问作者tweitzel