CSP frame-ancestors self指令为何阻止同源页面嵌入？

• 核心问题出在iframe的sandbox属性上：当你给iframe添加sandbox但未显式指定allow-same-origin时，Chrome会强制将该iframe的浏览上下文标记为独立的、无同源关联的环境，哪怕它加载的内容和父页面完全同源。
• CSP的frame-ancestors self规则是基于实际加载时的浏览上下文源来判断的。此时被sandbox限制的iframe上下文已经脱离了原本的同源关系，父页面的源不再被视为合法的祖先来源，因此会触发CSP拦截。

• 在iframe的sandbox属性中添加allow-same-origin值，比如：<iframe sandbox="allow-same-origin" src="/test"></iframe>。这样既能保留其他sandbox限制（如果需要），又能让iframe恢复同源身份，符合frame-ancestors self的规则。
• 或者如果不需要sandbox的其他限制，可以直接移除sandbox属性，此时同源的iframe嵌入会正常通过CSP检查。

内容的提问来源于stack exchange，提问作者Phalgun