Chrome下CSP form-action 'self'阻止注销表单提交问题求助

问题背景 #

应用域名：https://test.myapp.maindomain.com
初始CSP规则：form-action 'self';
注销表单提交目标：https://test.myapp.maindomain.com/Account/LogOff，但Chrome触发CSP阻止；添加https://test.maindomain.com到规则后仍违规，且仅Chrome出现该问题。

排查与解决方案 #

1. 明确CSP 'self'的匹配逻辑 #

CSP中的'self'仅匹配完全同源的地址，即协议、主域名、子域名、端口必须完全一致。test.myapp.maindomain.com和test.maindomain.com属于不同子域名，不属于同源范畴，因此添加后者无法解决同源提交的问题。如果表单确实提交到同源的/Account/LogOff，'self'理论上应该生效，需进一步排查实际提交行为。

2. 查看Chrome的CSP违规详情 #

打开Chrome开发者工具（F12）→ 切换到「控制台」标签，找到CSP违规的报错信息，重点查看：

• 被阻止的实际目标URL：有时表单提交后会被服务器重定向到其他域名（比如test.maindomain.com），此时重定向后的URL才是触发CSP的原因。
• 违规的具体规则项：确认是否确实是form-action规则导致的阻止。

3. 排查表单提交的实际行为 #

• 检查表单的action属性：右键检查注销表单，确认action值是否为/Account/LogOff，有没有JavaScript代码动态修改了表单的提交目标。
• 检查服务器端响应：查看/Account/LogOff接口的返回值，是否包含重定向到test.maindomain.com的Location头。如果存在此类重定向，form-action规则必须包含重定向的目标域名。

4. 修正CSP规则与缓存问题 #

• 若表单无重定向且提交目标同源：
  • 强制刷新页面（Ctrl+Shift+R）或清除Chrome缓存后重试——Chrome可能缓存了旧的CSP规则。
  • 确认CSP规则是否正确发送：在开发者工具「网络」标签中，查看页面请求的响应头，确认Content-Security-Policy的值是否为form-action 'self';。
• 若存在重定向到test.maindomain.com：
  • 将CSP规则修改为：form-action 'self' https://test.maindomain.com;，确保规则中的域名与重定向目标完全一致（包括协议、端口）。

5. 临时放宽规则定位问题 #

若以上步骤无法排查，可临时将CSP规则改为form-action *;，测试是否还会触发阻止。如果不再阻止，说明之前的规则未覆盖实际提交的目标URL，再结合Chrome控制台的报错信息调整规则。

内容的提问来源于stack exchange，提问作者anl