带末尾点的FQDN在CSP中无法生效的原因及解决办法问询

为什么末尾带点的域名不被允许？ #

CSP的源语法规则明确禁止FQDN以点结尾。虽然DNS中域名末尾的点代表根域标识，但浏览器解析CSP源时，会将这种带末尾点的格式判定为无效，因此会直接忽略这个源配置，触发你收到的报错提示。

解决办法 #

实际上，xxx.de.和xxx.de在DNS解析层面是等价的——浏览器访问时会自动省略末尾的根域标识。你只需要把CSP配置里的xxx.de.改成xxx.de即可，这样既符合CSP规范，又能正常加载该域名下的图片资源。

修改后的CSP配置示例：

default-src 'self'; script-src 'self' 'unsafe-inline' 
'unsafe-eval' www.xxx.de; style-src 'self' 'unsafe-inline'; 
font-src 'self' data:; img-src 'self' xxx.de; frame-src 'self' 
www.youtube-nocookie.com xxx.de;

内容的提问来源于stack exchange，提问作者Grim