WebKit内核浏览器PDF显示异常与CSP 'unsafe-inline'需求咨询

问题定性：WebKit的兼容性Bug，而非有意功能变更 #

在Safari 16.4及基于WebKit内核的浏览器（DuckDuckGo、Orion等）中，内置PDF阅读器存在CSP规则处理逻辑错误：浏览器错误地将阅读器自身的必要内联样式纳入了页面CSP的校验范围，导致样式被拦截，PDF显示高度被截断。

而Chrome、Firefox以及旧版Safari（15.6.1）会将内置PDF阅读器的运行上下文与页面上下文完全隔离，阅读器内部样式加载不受页面CSP约束，因此无异常。这并非WebKit的有意功能变更，而是一个已被社区反馈的兼容性Bug。

无全局'unsafe-inline'的规避方案 #

1. 针对PDF资源单独配置CSP #

如果服务器支持路径匹配的HTTP头配置，可为所有PDF文件单独设置宽松CSP：

• 当请求路径匹配*.pdf时，返回CSP头：style-src 'self' 'unsafe-inline';
• 其余页面保持原严格CSP：style-src 'self';
  此方式仅在加载PDF时放宽限制，不影响站点整体安全。

2. 本地部署第三方PDF渲染库替代内置阅读器 #

使用开源PDF渲染库（如PDF.js），将库文件部署到站点本地，通过自定义容器嵌入PDF并渲染。由于样式由本地资源提供，完全符合style-src 'self';规则，同时避开内置阅读器的CSP冲突。

3. 让PDF在新窗口打开 #

为PDF链接添加target="_blank"属性，使PDF在独立窗口加载。WebKit对新窗口的CSP继承逻辑更宽松，内置阅读器可正常加载自身样式，不会触发截断问题。

4. 使用CSP哈希替代全局'unsafe-inline' #

查看开发者控制台中被拦截的内联样式哈希值（控制台提示会给出具体的sha256/sha384哈希字符串），将该哈希加入style-src规则，示例：

style-src 'self' 'sha256-abcdef1234567890abcdef1234567890abcdef1234567890abcdef1234567890';

注意：该哈希值可能随WebKit版本更新变化，需定期跟进浏览器版本调整。

内容的提问来源于stack exchange，提问作者jimmac05