iframe加载第三方站点时，双方CSP头的作用范围规则是什么？

CSP的生效逻辑严格遵循浏览器的独立浏览上下文隔离原则，每个页面（包括每个跨源iframe）的CSP规则独立存储、独立判定，不会跨上下文交叉影响，以下针对疑问逐一说明：

1. 第三方站点自身CSP的作用边界 #

被嵌入的第三方站点返回的CSP头，仅对它自身所在的iframe上下文生效，不会和你方主站的CSP产生规则合并、交叉校验的交互。
当你通过iframe加载第三方站点（比如www.google.com）时：

• 你方主站的CSP仅负责校验「是否允许发起加载google.com这个iframe的初始请求」，只要你方CSP的frame-src规则放行了google.com，iframe的初始加载就不会被你方策略拦截
• 第三方站点返回的CSP，只用来管控它自己iframe页面内加载的脚本、样式、图片、子iframe等所有资源，既管不到你主站的资源加载，也不会被你主站的CSP规则修改
• 不存在两边CSP规则叠加生效的逻辑，浏览器做拦截判定时，每个上下文只会查询当前上下文返回的CSP配置

2. 主站CSP对第三方iframe内部请求的约束范围 #

跨源第三方iframe加载完成后，它内部发起的所有资源请求、嵌套iframe加载请求，完全不受你方主站CSP规则的约束。
对应举例场景：只要你方CSP放行了google.com的iframe加载，google在自身页面内嵌套加载youtube.com、请求youtube域名下的静态资源，这些行为的校验权完全属于google页面自身的CSP，和你方CSP有没有把youtube.com加入白名单没有任何关系。
唯一的例外：如果加载的iframe和主站同源，此时iframe和主站共享安全上下文，主站的CSP会对同源iframe内的资源加载生效；所有跨源iframe都不受主站CSP的穿透约束。

3. 嵌套iframe场景下的CSP维护范围 #

你不需要主动维护非可控第三方站点的CSP配置，仅需维护好自身站点的CSP策略即可：

• 对于你无法控制的公网第三方站点（比如公共搜索、视频类服务），你只需要在自身CSP的frame-src配置中加入对应域名，保证iframe初始加载不被拦截即可。如果第三方站点自身CSP配置错误导致内部资源加载失败，属于第三方侧的问题，你没有权限也没有手段干预它的CSP规则
• 只有当你嵌入的是自身可控的子站点（比如同公司部署在其他域名下的业务页面、同源页面），你才需要同时维护这些子站点自身的CSP配置，保证其内部资源加载正常

核心结论 #

只要你在自身CSP规则中配置允许加载某第三方跨源站点，该站点就可以完全依据它自身返回的CSP头规则加载所需的各类资源，不会被你方主站的CSP规则额外拦截。

内容的提问来源于stack exchange，提问作者Jeremy Daniel Gregorio