Google Sites Full Page Embed嵌入自有URL报错CSP配置求助

问题根因 #

这个报错本质是浏览器跨源嵌入拦截机制触发，只改CSP没解决问题，基本都是漏了其他拦截头、CSP规则写废了、或者改的配置根本没生效。

排查步骤 #

• 先清掉冲突的X-Frame-Options响应头
  90%的人改CSP没用都是栽在这个头上。Apache默认配置、mod_security这类安全模块、前置的CDN/WAF大多会默认加X-Frame-Options头，只要这个头的值是SAMEORIGIN或者DENY，优先级比CSP高，直接就拦嵌入。
  先在Apache对应站点的配置里加如下规则，清掉旧的冲突头：

  <Directory "/你的站点实际根目录绝对路径">
      Header always unset X-Frame-Options
  </Directory>
  

  如果你源站前面套了CDN、开了WAF，也要去CDN/WAF的响应头配置里把这个头删掉，或者设成ALLOWALL，不然源站改了也没用。

• 修正CSP的frame-ancestors规则
  你之前写的三套CSP有两个硬伤：

  1. 前两套域名范围没写全，只配https://*.google.com匹配不到sites.google.com这个Google Sites的主站域名，规则等于没覆盖到嵌入来源
  2. 第三套超长的全量CSP是无效写法，frame-ancestors指令根本不支持'unsafe-inline'、data:、blob:这类值，浏览器解析到非法值会直接废弃整条frame-ancestors规则，完全不生效
     调试阶段可以先用精准的规则验证，确认功能正常后再收紧权限，不要上来就写*通配，出问题不好排查：

  Content-Security-Policy: frame-ancestors 'self' https://sites.google.com https://*.google.com https://*.sites.google.com;
  

  记住frame-ancestors只认域名源、'self'、合规通配符，别往里面塞其他指令的合法值，纯纯无效操作。

• 验证配置是否真的生效
  改完配置一定要重启Apache，然后直接在浏览器打开你自己的站点地址，F12开开发者工具切到网络面板，选中文档请求看响应头：

  • 确认没有带拦截值的X-Frame-Options头
  • 确认只返回了一份Content-Security-Policy头，且frame-ancestors规则和你写的一致
    如果返回的头和你配的不一样，说明有上层配置覆盖了——比如虚拟主机全局配置、.htaccess里的规则、CDN加的头，挨个排查把冲突规则删掉就行。注意如果同时返回多份CSP，浏览器会取最严格的交集，只要有一份没放通Google Sites的源，就会被拦。

• 排查其他边缘场景

  • 确认站点HTTPS证书有效，没过期、是正规CA颁发的，证书异常的站点Google Sites直接拒嵌，不会报CSP相关错误
  • 确认站点没开IP白名单、地区拦截这类访问控制，Google的嵌入检测节点爬不到你的页面，也会提示权限不足
  • 如果开了X-Content-Type-Options: nosniff，要确认页面返回的Content-Type是text/html，类型不匹配也会嵌不进去

内容的提问来源于stack exchange，提问作者Jeffrey Van Alstine