为何vortex.data.microsoft.com会调用我方页面的CSP？技术咨询

1. vortex.data.microsoft.com是什么？为何它会使用另一页面的CSP？ #

• vortex.data.microsoft.com是微软Application Insights遥测服务的端点，用于收集应用运行数据、错误日志等。报错里的Sender.ts是该服务SDK的组件，虽然这个文件加载失败，但SDK的其他部分已启动，尝试向这个端点发送数据。
• 你的CSP被跨页面套用，大概率是第三方平台的资源处理逻辑出错——它把你上传的zip里那个带CSP的HTML页面的meta标签，错误当成了全站通用配置，全局注入到了所有页面中，包括你没访问过的数据库查询页面。

2. 这是否属于需要关注的泄露、漏洞或其他安全问题？ #

• 不属于数据泄露或严重安全漏洞，但属于配置错误引发的功能异常：
  • 微软的遥测请求被拦截，可能影响第三方平台自身的监控功能（如果平台依赖Application Insights）；
  • 你的CSP限制了其他页面的合法连接，可能导致平台其他功能出问题；
  • 你的CSP本身没有敏感信息，不存在泄露风险。

3. 为何/如何从一个未被客户端访问的、属于zip上传的文件中获取到该CSP？ #

• 问题出在第三方平台的资源处理流程上，可能的场景包括：
  • 平台会扫描所有上传的静态文件（包括zip内的HTML），自动提取并全局应用其中的CSP配置；
  • 平台的页面模板机制出错，把你上传页面的meta标签合并到了全站模板里；
  • 平台的缓存系统异常，把带CSP页面的缓存内容覆盖到了其他页面的响应中。

内容的提问来源于stack exchange，提问作者Reahreic