Facebook 应用程序无法加载 - 内容安全策略“frame-src”

Question

我们有一个 Facebook 应用程序已经存在了很长时间。这是一个基于页面的应用程序，在 iframe 中加载。最近加载失败，Chrome 控制台出现这个错误：

[Report Only] Refused to frame 'https://edit.ihouseelite.com/' because it violates the following Content Security Policy directive: "frame-src *.doubleclick.net *.google.com *.facebook.com www.googleadservices.com *.fbsbx.com".

你可以在我们的测试页面看到问题：

https://www.facebook.com/Test-page-1158553550884937/app/451851288205481

首先 - 此消息以“仅报告”开头。这是否意味着这个错误并不是真正的错误，而可能预示着未来的问题？

假设它确实是一个错误，我该如何解决它？看起来 CSP 是由 Facebook 设置的，因此它们只允许特定域加载到 Facebook 页面内的 iframe 中。还是我读错了？我认为在应用程序设置（基本）中设置域会调整 CSP，但它似乎没有这样做。我们有几千个客户正在使用我们的应用程序，所以我真的很想弄清楚如何解决这个问题。欢迎所有建议。

Answer 1

是的，它是 facebook 的一个 CSP，它发布了两个 CSP：content-security-policy 和 content-security-policy-report-only，你可以在开发工具中看到它：

在Report-Only 模式下使用 CSP，facebook 只是测试一些东西，没有真正的阻塞，只是发送违规报告。
Facebook 的 CSP 不会受到这样的影响，但是当创建一个合法的应用程序时，facebook 应该自动将应用程序的域添加到 frame-src 指令中。