拒绝框架“https://www.youtube.com/”，因为它违反了以下内容安全政策指令：“frame-src 'X'答案

【问题标题】：Refused to frame 'https://www.youtube.com/' because it violates the following Content Security Policy directive: "frame-src 'X'拒绝框架“https://www.youtube.com/”，因为它违反了以下内容安全政策指令：“frame-src 'X'
【发布时间】：2021-05-10 18:09:24
【问题描述】：

我正在尝试使用 iframe 在我的网站中嵌入一个 YouTube 视频，在我决定开始使用 ssl 证书之前它工作得很好，然后这些 CSP 错误开始出现。

我正在执行以下 HTML 代码：

<iframe width="1200" height="630" src="https://www.youtube.com/embed/X" 
    allowfullscreen="allowfullscreen"
    mozallowfullscreen="mozallowfullscreen"
    msallowfullscreen="msallowfullscreen"
    oallowfullscreen="oallowfullscreen"
    webkitallowfullscreen="webkitallowfullscreen" >
</iframe>

我已经尝试了以下所有方法来修复错误，但仍然无法正常工作：

<meta http-equiv="Content-Security-Policy" content="frame-src 'self' *">
<meta http-equiv="Content-Security-Policy" content="frame-src 'self' https://www.youtube.com/">
<meta http-equiv="Content-Security-Policy" content="frame-src 'self' https://youtube.com/">
<meta http-equiv="Content-Security-Policy" content="frame-src 'self' youtube.com *.youtube.com">

它总是给出如下错误：

拒绝框架“https://www.youtube.com/”，因为它违反了以下内容安全政策指令：“frame-src 'X'。

当我没有添加任何关于 CSP 的元语句时，它会出现以下错误：

拒绝框架“https://www.youtube.com/”，因为它违反了以下内容安全政策指令：“frame-src 'none'。

我不确定我在上面到底做错了什么。

【问题讨论】：

在您的 CSP 中尝试使用 https://www.youtube.com/embed/ 而不是 https://www.youtube.com/ 怎么样
@fanfare 会试试看。

标签： javascript html content-security-policy meta

【解决方案1】：

您需要设置以下 CSP：

<meta http-equiv="Content-Security-Policy" content="frame-src youtube.com www.youtube.com">

基于this answer。

【讨论】：

当他没有添加任何关于 CSP 的元语句时，它会出现以下错误：Refused to frame 'https://www.youtube.com/' because it violates the following Content Security Policy directive: "frame-src 'none'。这意味着他已经有一个带有规则frame-src 'none' 的 CSP 在某处发布。它需要修改thsi CSP，而不是通过元标记添加另一个
@granty 在查看它之后，是的，好像我已经在 nginx 配置中拥有它。
@Risinek 我已经尝试过了，看到了答案，它给出了以下错误：拒绝框架'youtube.com'，因为它违反了以下内容安全策略指令：“frame-src'youtube .com www.youtube.com'。