为何已在frame-ancestors配置的URL仍被Chrome拒绝作为iframe祖先？

• 配置对象搞反：frame-ancestors指令用于指定允许嵌入当前页面的父/祖先页面URL，而非当前页面自身的URL。你配置的是Keycloak自己的域名，但实际嵌入Keycloak的父页面域名不在规则列表中，因此浏览器触发报错。正确操作是将嵌入Keycloak的页面域名添加到frame-ancestors中。
• URL匹配不严格：检查配置的URL与实际祖先页面URL是否完全一致——非默认端口（80/443）必须明确标注、末尾斜杠需统一、http/https协议要匹配，任何细微差异都会导致规则失效。
• CSP头冲突或重复：若服务器返回多个Content-Security-Policy响应头，或同一个头内存在多组frame-ancestors规则，浏览器会合并并执行最严格的限制，可能导致你添加的URL被覆盖。
• 浏览器缓存旧规则：浏览器可能缓存了之前的CSP配置，新规则未生效。可尝试清空浏览器缓存，或用Ctrl+F5强制刷新页面后重新测试。
• 中间层篡改响应头：如果Keycloak前端有反向代理、CDN等服务，这些中间层可能修改了Content-Security-Policy响应头，导致实际返回给浏览器的规则与你配置的不一致。可通过浏览器开发者工具的Network面板，查看Keycloak返回的响应头中CSP规则是否正确。

内容的提问来源于stack exchange，提问作者Ueda Takeyuki