JS脚本请求API触发CSP错误，能否我方解决或需客户调整CSP？

CSP是客户网站的浏览器端安全策略，核心作用是限制页面能加载、请求的资源来源，这类问题大部分情况需要客户调整CSP配置，但我方也有几种可尝试的解决方向：

我方端可尝试的方案 #

• 借助客户域名做代理：如果客户网站自己的后端域名已经在其CSP的connect-src指令里被允许，可以让客户在他们后端加一个代理接口。我方脚本请求这个代理接口，再由客户后端转发到我方API——这样请求的是客户自己的域名，不会触发CSP限制。
• 改用JSONP（仅支持GET请求）：如果涉事API是GET请求，可以把接口改成支持JSONP的形式。JSONP通过动态创建<script>标签加载资源，只要客户CSP的script-src允许我方域名，或者允许unsafe-inline（不推荐，有安全风险），就能绕过connect-src的限制。注意JSONP只适用于GET，且存在XSS风险，需谨慎使用。
• 调整API的访问规则适配客户CSP：检查客户CSP的具体要求，比如是否只允许HTTPS请求——如果我方API还是HTTP，升级到HTTPS就能解决；或者检查端口、协议是否在允许范围内，调整我方API的访问地址匹配这些规则。

必须由客户调整CSP的场景 #

如果上面的方案都不可行，就只能让客户修改他们的CSP配置：

• 在connect-src指令中添加我方API的域名，比如配置：connect-src 'self' https://your-api-domain.com;
• 如果我方注入的脚本包含内联代码，可能还需要客户在script-src中添加unsafe-inline，或者更安全的方式——使用CSP哈希/非ce值，指定允许执行的特定内联脚本。

内容的提问来源于stack exchange，提问作者Skalip