Chrome中登录表单被CSP form-action规则拦截，火狐运行正常，求排查原因

报错信息：
Refused to send form data to 'https://subdomain.mydomain.com/login/local' because it violates the following Content Security Policy directive: "form-action 'self' https: *.mydomain.com".

原因解析 #

• 浏览器校验逻辑差异：Chrome 94版本对form-action指令的校验规则严格度远高于火狐，核心差异点如下：
  1. 多CSP响应头合并逻辑：如果服务端返回了多个Content-Security-Policy响应头，Chrome会对所有头的form-action规则取交集，只要任意一个头的规则不允许目标地址就会触发拦截；火狐的合并逻辑相对宽松，部分场景下会取规则并集，因此不会触发异常。
  2. 跳转链路全量校验：Chrome 94会校验表单提交后的整个跳转链路中所有地址是否符合form-action规则，只要链路中有一个地址不匹配就会拦截，且报错仅会展示初始提交的地址，不会显示跳转后的目标地址；火狐默认仅校验表单设置的初始action地址，不会校验后续跳转链路。
• 版本已知Bug：Chrome 94存在官方记录的CSP解析Bug，当form-action中同时存在无主机的scheme源（示例中的https:）和通配符域名源时，通配符域名的匹配规则会偶发失效，导致符合规则的域名被误拦截。

解决方案 #

• 排查多CSP头冲突：检查页面所有响应头中的Content-Security-Policy字段，确保所有头的form-action规则都包含*.mydomain.com，不要依赖不同浏览器的合并逻辑差异。
• 补充全链路域名：如果表单提交后存在跨域名跳转，将跳转链路中涉及的所有域名都补充到form-action规则中。
• 调整规则顺序修复解析Bug：把通配符域名规则放到scheme源前面，修改规则为form-action 'self' *.mydomain.com https:，避免Chrome 94的解析Bug导致通配符失效。
• 临时兼容方案：无法快速定位跳转链路时，可临时调整规则为form-action 'self' https:允许所有HTTPS地址的表单提交，定位到具体问题后再收紧规则。

内容的提问来源于stack exchange，提问作者Martial