Chrome 63忽略或破坏worker-src CSP header问题求助

我之前也碰到过老版本Chrome和CSP相关的奇怪问题，结合你的描述，这个情况大概率是Chrome 63这个特定版本的CSP处理bug，或者你的配置没被浏览器正确识别，下面给你几个具体的排查方向和解决思路：

1. 确认实际生效的CSP规则 #

先打开Chrome DevTools的「Security」面板，找到「Content Security Policy」区域，查看当前页面实际应用的worker-src规则。有时候我们配置的HTTP头、meta标签或者manifest里的CSP可能存在冲突，或是因为语法错误被浏览器忽略，导致实际生效的是默认的worker-src 'none'。

比如如果你的CSP头里同时存在多组规则，或是worker-src的位置格式不对，都可能让浏览器无法正确解析。

2. 尝试用child-src替代/补充worker-src #

在早期的CSP规范里，worker-src是后来新增的指令，部分老版本Chrome（比如63）对它的支持可能不完善，需要用child-src来覆盖Worker资源的加载权限。你可以修改CSP配置，同时添加这两个指令：

worker-src http://localhost:8080; child-src http://localhost:8080;

这样能兼容旧版本的CSP解析逻辑。

3. 排查Chrome扩展的干扰 #

有些Chrome扩展会注入自己的CSP规则，可能会覆盖你配置的规则，导致worker-src被设为'none'。你可以试试在隐身模式下打开应用（隐身模式默认禁用所有扩展），如果问题消失，那就是某个扩展搞的鬼，逐一排查禁用扩展就能解决。

4. 注意Report Only模式的异常行为 #

你的报错带[Report Only]标识，正常来说Report Only模式应该只记录违规日志，不会阻止资源加载，但Chrome 63这个版本可能存在bug，把Report Only的规则当成了强制执行的规则。你可以暂时把CSP切换为强制模式（去掉Report-Only标识），看看能不能正常创建Worker，同时观察控制台的报错情况。

5. 考虑升级Chrome版本 #

Chrome 63是2017年底发布的版本，距今已经有很多年，存在大量已知bug和安全漏洞，官方早已停止维护。如果条件允许，建议升级到最新稳定版Chrome，大概率能直接解决问题——毕竟其他浏览器都能正常运行，说明你的应用代码和CSP配置本身是没问题的。

内容的提问来源于stack exchange，提问作者Xceno