Firefox 91出现Content Security Policy未知指令noscript-marker报错求排查

Content Security Policy: Couldn’t process unknown directive ‘noscript-marker’

• 排查服务端/中间层返回的CSP响应头：优先在浏览器网络面板查看主文档请求的响应头，确认Content-Security-Policy、Content-Security-Policy-Report-Only字段是否携带了该指令。除了业务自身的服务配置外，还要检查CDN、WAF、反向代理、云服务商安全插件等中间节点是否会自动注入CSP规则，这类中间层添加的规则不会出现在本地业务代码中。
• 排查浏览器扩展的注入行为：Firefox的广告拦截、隐私防护、安全类扩展大概率会修改页面响应头或注入额外的CSP规则，可尝试用Firefox安全模式（禁用所有扩展）访问页面验证报错是否消失，若消失则逐个禁用扩展定位问题来源。
• 排查前端动态注入的CSP规则：部分前端安全SDK、埋点工具、A/B测试框架会动态创建meta标签插入CSP规则，这类动态生成的内容无法通过静态代码检索命中，可在浏览器元素面板实时搜索head节点下的所有CSP相关meta标签，确认是否存在对应指令。
• 验证是否为Firefox 91版本的兼容问题：noscript-marker属于非标准的实验性CSP指令，Firefox 91作为2021年发布的旧ESR版本本身不支持该指令，可使用更高版本Firefox或Chromium内核浏览器访问页面，若仅在91版本出现报错，可确认是低版本浏览器对新指令的兼容问题，若不影响业务功能可忽略该警告，或在规则下发侧针对低版本浏览器剔除该指令。
• 排查全站范围的CSP规则配置：如果站点有全局的安全规则配置中心、统一网关层的CSP下发逻辑，要检查相关配置是否有该指令的残留，尤其是灰度发布的规则可能只在部分区域/用户场景下生效，全量静态代码检索不到。

内容的提问来源于stack exchange，提问作者user1986815