配置CSP对接GTM、谷歌分析服务出现多类报错求助

错误根因 #

四个报错的触发逻辑完全可追溯，核心问题集中在配置语法错误：

• 触发「CSP指令名含非法字符」报错的原因是配置语法重复：使用Apache Header set 指令配置CSP时，引号内的策略值不需要额外携带Content-Security-Policy:头名称前缀，重复写入头名会直接导致整个CSP策略完全解析失败。
• CSP策略解析失效后，浏览器会回退到默认的default-src 'self'规则，因此拦截所有外域加载的谷歌统计、标签管理器脚本，触发两个脚本加载被拒的报错。
• 触发Permissions-Policy解析报错的原因是该头存在语法残缺、值为空或者和CSP头内容写串，不符合结构化头的语法规范。
• 原有CSP配置本身存在冗余和格式问题：重复声明了两次'unsafe-eval'，https://tagmanager.google.com/末尾携带了多余的路径斜杠，不符合CSP源匹配的写法规范，同时缺少谷歌服务正常运行所需的图片、连接、样式类资源的加载规则。

正确配置参考 #

Apache服务端配置（.htaccess/虚拟主机配置项） #

# 先清除可能存在的重复旧头，避免规则冲突
Header unset Content-Security-Policy
Header unset Permissions-Policy

# 适配Google Analytics、Google Tag Manager的CSP规则
Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://www.google-analytics.com https://*.googletagmanager.com https://tagmanager.google.com https://*.google.com; img-src 'self' data: https://www.google-analytics.com https://*.googletagmanager.com https://*.google.com; connect-src 'self' https://www.google-analytics.com https://*.googletagmanager.com https://*.google.com; style-src 'self' 'unsafe-inline' https://tagmanager.google.com; font-src 'self';"

# 无Permissions-Policy定制需求可直接删除下面这行，不要留空值或残缺配置避免解析报错
Header set Permissions-Policy "geolocation=(), microphone=(), camera=()"

PHP代码动态输出头配置 #

<?php
// 注意header函数内的字符串仅需要正常的头:值格式，不要重复拼接头名
header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://www.google-analytics.com https://*.googletagmanager.com https://tagmanager.google.com https://*.google.com; img-src 'self' data: https://www.google-analytics.com https://*.googletagmanager.com https://*.google.com; connect-src 'self' https://www.google-analytics.com https://*.googletagmanager.com https://*.google.com; style-src 'self' 'unsafe-inline' https://tagmanager.google.com; font-src 'self';");
?>

配置校验要点 #

• 配置生效后清空浏览器缓存，通过开发者工具-网络面板查看页面响应头，确认Content-Security-Policy的返回值开头没有重复的Content-Security-Policy:前缀
• 所有声明的资源源地址不要携带末尾斜杠，无特殊需求不要重复声明相同的安全标记
• 如果站点未使用谷歌相关的样式资源，可以按需删除style-src、font-src内不需要的域名规则
• 不需要自定义权限策略的场景下，直接不输出Permissions-Policy头即可，避免空值、语法错误触发解析报错

内容的提问来源于stack exchange，提问作者Max Wink