升级到 Magento 2.4.7 系列后，结账页支付按钮不出现、第三方 SDK 加载失败，浏览器 Console 显示 Content Security Policy 拒绝脚本、iframe 或连接。CSP 是浏览器执行的安全边界，正确处理方式是识别业务真正需要的来源和执行方式，而不是把策略整体关闭。

先保存完整的 CSP 违规信息

Console 中要记录被阻止的资源 URL、违反的 directive、页面路径和是否为 inline script。常见 directive 包括 script-src、frame-src、connect-src、img-src 和 style-src。支付 SDK 可能同时需要脚本域、API 域、3DS iframe 域和图片域，只允许其中一个仍会在后续步骤失败。

确认报错确实由当前 Magento 响应头产生。CDN、WAF 或 Web 服务器也可能追加第二个 CSP 头；浏览器会同时执行多条策略，后一层放宽并不能覆盖前一层限制。

Report-Only 与 Restrict 模式要分清

Report-Only 只记录违规，不应阻止资源；Restrict 会直接拦截。不同页面区域和 Magento 版本可能采用不同模式。不要看到 Console 警告就断定它是页面故障根因，应同时检查资源是否实际加载和 Network 状态。

为可信来源添加最小白名单

模块可以在 etc/csp_whitelist.xml 中声明允许来源。示例结构：

<?xml version=\"1.0\"?>
<csp_whitelist xmlns:xsi=\"http://www.w3.org/2001/XMLSchema-instance\"
 xsi:noNamespaceSchemaLocation=\"urn:magento:module:Magento_Csp:etc/csp_whitelist.xsd\">
  <policies>
    <policy id=\"script-src\">
      <values>
        <value id=\"payment-sdk\" type=\"host\">支付服务脚本域名</value>
      </values>
    </policy>
  </policies>
</csp_whitelist>

实际域名必须来自支付服务官方集成要求，并区分沙盒与正式环境。不要允许通配的所有 HTTPS 来源，也不要照抄 Console 中出现的未知域名；被注入的恶意脚本同样会请求外部域。

内联脚本优先改为 nonce 或 hash 兼容方式

直接加入 'unsafe-inline' 会显著削弱 CSP。自定义模板中的内联脚本应迁移到 RequireJS/外部模块，或使用 Magento 提供的 SecureHtmlRenderer、nonce/hash 机制。动态变化的内联内容无法稳定使用固定 hash，需要从渲染方式解决。

结账验证要覆盖完整支付流程

脚本初次加载成功不代表问题结束。测试支付方式展示、tokenize、3DS challenge、弹窗、回调、成功跳转和失败重试，并在每一步观察新的 CSP 报告。钱包支付还可能使用 worker、frame ancestor 或表单提交相关策略。

上线后可把违规报告发送到受控端点并监控新增来源，但报告中可能包含页面信息，需按隐私要求处理。最终白名单应进入自有模块和版本控制，避免直接改 vendor 文件导致下次升级丢失。