GTM标签部署限制为何失效？配置gtm.allowlist/blocklist仍注入第三方脚本

• 最多人踩的坑：配置时机不对
  这个拦截配置必须在GTM主加载脚本执行前就写入dataLayer。GTM初始化时只会读取一次dataLayer里的gtm.allowlist/gtm.blocklist值，等容器加载完、标签触发后再补推的同名字段，根本不会被解析。
  正确的代码顺序参考：

  // 1. 先初始化dataLayer
  window.dataLayer = window.dataLayer || [];
  // 2. 第一时间写拦截/放行配置，不要绑任何页面事件
  window.dataLayer.push({
    'gtm.blocklist': ['vp', 'sp', 'award', 'gtag'],
    'gtm.allowlist': ['html', 'jsd']
  });
  // 3. 最后再加载GTM主脚本
  (function(w,d,s,l,i){w[l]=w[l]||[];w[l].push({'gtm.start':new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src='https://www.googletagmanager.com/gtm.js?id='+i;f.parentNode.insertBefore(j,f);})(window,document,'script','dataLayer','GTM-你的容器ID');
  

• 配置值完全写错
  allowlist/blocklist里填的是GTM内部定义的脚本类型固定标识，不是具体的脚本URL、域名、文件名。很多人把第三方脚本的域名、js文件名填进列表里，根本匹配不上规则，等于白配。
• 规则优先级搞反了
  只配allowlist不会自动拦不在列表里的脚本。GTM的逻辑是：两个列表同时配置时，先匹配allowlist的放行范围，剩下的内容里再匹配blocklist的拦截规则；如果只写allowlist不写blocklist，所有不在放行列表里的脚本会正常加载，根本不会被屏蔽。
• 拦截规则覆盖不到手动注入的脚本
  如果第三方脚本是在GTM自定义模板里用原生JS创建script标签手动注入的，这类脚本不走GTM内置的统一加载通道，allowlist/blocklist完全管不到。这种场景得靠CSP层加规则拦截，或者在模板代码里加加载判断，别指望列表能生效。
• 配置被其他逻辑覆盖了
  要是页面有多个GTM容器，或者嵌的其他第三方SDK初始化时推了同名的gtm.allowlist/gtm.blocklist字段，会直接把你提前写好的配置覆盖掉。排查的时候可以在控制台输入window.google_tag_manager['GTM-你的容器ID'].dataLayer.get('gtm.blocklist')，看实际读到的配置值是不是你预设的，如果值是空的或者不对，就是有其他逻辑在覆盖配置。

内容的提问来源于stack exchange，提问作者wuzinong