未设置Content Security Policy响应头却收到违规报告，如何定位来源？

为什么未配置CSP响应头却生成违规报告 #

CSP规则的来源不只有源服务器返回的HTTP响应头，还有以下几种常见可能：

• 页面内嵌的<meta>标签：可以直接在HTML中通过<meta http-equiv="Content-Security-Policy-Report-Only" content="规则内容">的形式配置CSP，等效于响应头配置。
• 中间节点注入：CDN、反向代理、WAF等中间服务可能会默认添加安全响应头，你排查的源站没有配置，不代表请求链路的中间节点没有注入CSP头。
• 浏览器扩展注入：广告拦截、隐私安全类的浏览器扩展，可能会主动给页面注入CSP规则用来拦截恶意资源。
• 开发/构建工具配置：本地开发服务器（如Vite、Webpack Dev Server）、构建插件可能会默认添加CSP相关配置，开发环境下尤其常见。
• 浏览器强制策略：企业管理的设备可能会通过浏览器组策略，全局配置强制CSP规则，对所有页面生效。

如何查找违规报告的来源 #

你可以按以下顺序逐一排查：

1. 检查页面内嵌meta标签：打开浏览器开发者工具的「元素」面板，搜索Content-Security-Policy关键词，确认是否存在配置了CSP规则的meta标签。
2. 确认浏览器实际接收的响应头：打开开发者工具的「网络」面板，刷新页面后选中主文档请求，查看响应头中是否存在Content-Security-Policy或Content-Security-Policy-Report-Only字段，验证是否是中间节点注入的头。
3. 排查浏览器扩展影响：关闭所有扩展后使用无痕模式访问页面，如果报错消失，说明是某款扩展注入的CSP规则，可以逐一启用扩展定位具体来源。
4. 检查开发/构建配置：排查项目的构建工具配置、开发服务配置，确认是否引入了CSP相关的插件或默认配置。
5. 确认浏览器全局策略：如果是企业受控设备，可以访问浏览器的策略配置页（如Chrome访问chrome://policy/），查看是否存在强制配置的CSP规则。

内容的提问来源于stack exchange，提问作者henrywright