如何找到内容安全策略违规报告的来源？

Question

当我访问我的网页时，我在浏览器中收到内容安全策略违反报告：

[仅报告]拒绝加载映像“”，因为它违反了以下内容安全策略指令：“img src‘self’”。

当我调查HTTP响应标头时，内容-安全-政策-报告-仅标头或内容-安全-政策标头似乎都不是由源服务器设置的。

如何找到此违规报告的来源？我不确定为什么会生成它，因为相关的头似乎没有设置。

Answer 1

可能有两种选择：

1.您在页面中嵌入了第三方iframe。您观察到的违规行为属于该iframe，它发布自己的CSP标头。由于浏览器只有一个控制台用于主页和所有iframe，您也可以看到第三方iframe错误。
尝试使用其他浏览器，有些浏览器可能会更详细，并显示被阻塞的URI。无论如何，你可以与第三方CSP无关。

2.如果访问不存在的网页，服务器的中间件可以为具有4xx/5xx状态代码的页面发布默认CSP。低概率，因为在这种情况下不使用Report-Only模式。

发布内容-安全-策略-仅报告不是在HTTP头，而是在meta标记是不可能的，因为metatag不支持仅报告模式。因此我选择1。