关于CSP中child-src与frame-ancestors的差异及优先级问题

一、child-src 和 frame-ancestors 的核心区别 #

这俩虽然都和iframe相关，但控制的方向完全相反，一个管“我能嵌谁”，一个管“谁能嵌我”：

• child-src：负责管控当前页面主动嵌入的资源（包括iframe、Worker、SharedWorker等）的合法来源。比如你设置child-src 'self'，意思是当前页面里只能加载同源的iframe，要是尝试嵌入第三方域名的iframe，浏览器会直接拦截加载请求。
• frame-ancestors：负责管控哪些外部页面可以把当前页面作为iframe嵌入。比如设置frame-ancestors 'self'，那只有和当前页面同源的页面，才能用<iframe>标签把当前页面嵌进去；如果是其他域名的页面想嵌入你，浏览器会直接阻止这个嵌入行为。

举个直观的例子帮你理解：

假设你的页面是https://example.com/pageA

• 若配置child-src 'self'，pageA里只能嵌入https://example.com/域名下的iframe，嵌入https://other.com/iframe会被浏览器拦截
• 若配置frame-ancestors 'self'，只有https://example.com/域名下的页面（比如pageB）能把pageA嵌成iframe，https://other.com/pageC想嵌入pageA会被阻止

二、支持CSP2的浏览器对frame-src和child-src的优先级 #

没错，CSP2标准里已经明确frame-src被弃用，由child-src替代。对于支持CSP2的浏览器来说，当你同时设置frame-src 'self'和child-src 'self'时，浏览器会优先采用child-src的规则，完全忽略frame-src的配置。

简单来说，只要浏览器支持CSP2，child-src就是控制iframe加载的“主力规则”，frame-src仅作为兼容老旧浏览器的遗留配置存在，不会影响现代浏览器的执行逻辑。

内容的提问来源于stack exchange，提问作者Darragh