IIS多绑定站点CSP frame-ancestors配置异常导致iframe加载失败问题咨询

问题成因 #

你对frame-ancestors规则的作用对象理解存在偏差，这是异常出现的根本原因：

• frame-ancestors校验的是承载iframe的上层父页面的域名，而非iframe自身的src域名，该规则的作用是限制哪些父页面可以嵌入当前iframe指向的资源。
• 当你通过https://def.yyy.com访问包含iframe的页面时，父页面的域名是def.yyy.com，而你初始配置的iframe资源（https://abc.xxx.com/somepath）返回的CSP规则仅允许'self'和*.xxx.com作为父页面嵌入它，def.yyy.com不在允许列表中，因此触发拦截。
• 你后续补充*.yyy.com到规则后，父域名def.yyy.com符合校验要求，iframe自然可以正常加载。

解决方案 #

可根据实际业务场景选择对应方案：

1. 若确实需要允许def.yyy.com域名下的页面嵌入abc.xxx.com的资源，直接保留修改后的CSP配置即可：

Content-Security-Policy: frame-ancestors 'self' https://*.xxx.com https://*.yyy.com

2. 若不需要跨域名嵌入，调整页面访问逻辑，要求用户仅通过abc.xxx.com域名访问包含该iframe的页面即可，无需修改CSP。
3. 若两个绑定域名均为你的业务域名，且允许所有自身绑定域名嵌入资源，可直接将两个域名的根域都加入规则，避免后续新增子域名时重复修改配置。

内容的提问来源于stack exchange，提问作者Martin Rousev