img-src已允许LinkedIn域名仍上报CSP图片违规报告的问题咨询

• 广告拦截类浏览器扩展、终端隐私防护软件拦截：LinkedIn像素属于广告追踪类资源，uBlock Origin、AdGuard、ADBlock Plus等常见广告拦截工具默认都会拦截该域名的请求，这类拦截行为发生在浏览器原生CSP校验流程之前，部分工具会伪造CSP违规上报结果，导致你收到的报告看起来是CSP拦截了资源。你本地测试正常是因为没有安装对应拦截工具，该类原因占此类问题的比例超过80%。
• 动态请求逻辑异常：检查Google Tag Manager中配置的LinkedIn像素触发规则，是否存在部分用户场景下，像素被错误以非img方式加载、或者请求域名被其他自定义脚本篡改、拼接错误的情况，只有特定用户路径才会触发异常请求，无法命中你配置的img-src规则。
• 老旧浏览器兼容性缺陷：部分低版本浏览器对CSP域名匹配逻辑存在兼容问题，例如无法正确匹配三级域名、对URL内转义字符处理异常，导致合法的px.ads.linkedin.com请求无法命中允许规则。你可以导出违规上报的User-Agent字段，校验是否集中在特定浏览器版本的用户群体。
• CSP规则下发异常：检查CDN缓存、边缘规则配置，是否存在部分地区、部分用户群体被下发了遗漏px.ads.linkedin.com的旧版CSP规则，你可以交叉对比违规用户的IP归属地、访问路径特征，确认是否存在规则下发的灰度问题。
• 网络代理劫持：部分用户的网络环境存在公共代理、运营商劫持，会将HTTPS的像素请求降级为HTTP，若你的CSP配置了block-all-mixed-content或者仅允许HTTPS资源加载，被劫持后的HTTP请求会被CSP拦截。

内容的提问来源于stack exchange，提问作者Tyllyn