一、问题背景：为什么广告突然不显示了
近期在运营多个工具站和博客站（包括ＰＨＰ的ＺＢｌｏｇ、Ｇｏ语言ＣＭＳ、Ｆｌａｓｋ应用）时，发现Ｇｏｏｇｌｅ ＡｄＳｅｎｓｅ广告单元、ＧＴＭ容器、ＧＡ４统计代码频繁出现加载失败的情况。排查浏览器控制台后，发现大量类似报错：
Refused to load the script 'https://pagead2.googlesyndication.com/...' because it violates the following Content Security Policy directive: "script-src 'self' ..."
根源在于Ｎｇｉｎｘ配置中启用了强制执行的ＣＳＰ（Ｃｏｎｔｅｎｔ－Ｓｅｃｕｒｉｔｙ－Ｐｏｌｉｃｙ）。虽然之前已经配置了大量Ｇｏｏｇｌｅ相关域名白名单，但谷歌广告系统会动态引入新的脚本源和第三方追踪域名，白名单永远追不上变化。
二、Ｒｅｐｏｒｔ－Ｏｎｌｙ模式：不阻止只记录
对于以工具属性为主、不存在用户输入内容的站点，严格ＣＳＰ的防护收益极低，反而严重影响广告变现和第三方服务接入。最佳实践是将ＣＳＰ降级为Ｒｅｐｏｒｔ－Ｏｎｌｙ模式：
不拦截任何资源：浏览器不会阻止脚本、图片、Ｆｒａｍｅ的加载
控制台输出报告：仅在开发者工具中打印违规日志，供调试参考
广告与统计完全恢复：ＡｄＳｅｎｓｅ、ＧＴＭ、ＧＡ４、百度统计等全部正常
三、Ｎｇｉｎｘ配置核心修改点
以下修改适用于所有站点，包括ＺＢｌｏｇ、ＡｎＱｉＣＭＳ、Ｇｏ反向代理、Ｆｌａｓｋ应用等。
３．１ ＣＳＰ响应头名称变更
将强制执行的响应头改为报告模式：
# 修改前（会拦截广告） add_header Content-Security-Policy "default-src 'self'; script-src 'self' ..." always; # 修改后（仅报告不拦截） add_header Content-Security-Policy-Report-Only "default-src 'self'; script-src * 'unsafe-inline' 'unsafe-eval'; ..." always;
３．２ ｓｃｒｉｐｔ－ｓｒｃ彻底放开
不再维护繁琐的Ｇｏｏｇｌｅ域名白名单，直接使用通配符：
script-src * 'unsafe-inline' 'unsafe-eval';
这表示允许所有来源的脚本执行，包括动态加载的第三方广告脚本。
３．３ 其他指令同步简化
style-src 'self' 'unsafe-inline' https://*.googleapis.com; img-src 'self' data: http: https:; font-src 'self' data: https://*.gstatic.com; connect-src 'self' http: https:; frame-src 'self' https:;
３．４ 补齐缺失的安全头
在修改ＣＳＰ的同时，为之前缺失安全头的站点统一补上：
server_tokens off; add_header X-Frame-Options "SAMEORIGIN" always; add_header X-XSS-Protection "1; mode=block" always; add_header X-Content-Type-Options "nosniff" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always; add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=(), gyroscope=(), magnetometer=(), microphone=(), payment=(), usb=()" always;
四、宝塔面板保存注意事项
宝塔面板会对Ｎｇｉｎｘ配置文件进行语法校验，其中对ＳＳＬ区块的注释有严格的字符串匹配。以下两行注释绝对不能删除、修改或挪动位置，否则保存时会报错"请勿修改ＳＳＬ相关配置中注释的４０４规则"：
#SSL-START SSL相关配置，请勿删除或修改下一行带注释的404规则 #error_page 404/404.html;
同理，如果存在#ERROR-PAGE-START区块，也应保留其原始注释格式。
五、多站点统一配置模板
以下模板适用于ＰＨＰ站点（ＺＢｌｏｇ）、Ｇｏ反向代理站点（ＶＶＣＭＳ、ＡｎＱｉＣＭＳ）以及Ｆｌａｓｋ应用（ＧｒａｂＶｉｄ）。只需替换域名和证书路径即可复用。
server {
listen 443 ssl http2;
server_name example.com;
# ... root, index, SSL证书等配置 ...
#SSL-START SSL相关配置，请勿删除或修改下一行带注释的404规则
#error_page 404/404.html;
ssl_certificate /path/to/fullchain.pem;
ssl_certificate_key /path/to/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:!MD5;
ssl_prefer_server_ciphers on;
ssl_session_tickets on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
error_page 497 https://$host$request_uri;
#SSL-END
server_tokens off;
#SECURITY-HEADERS-START
add_header X-XSS-Protection "1; mode=block" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=(), gyroscope=(), magnetometer=(), microphone=(), payment=(), usb=()" always;
# CSP降级为Report-Only，彻底放开script-src，解决谷歌广告拦截
add_header Content-Security-Policy-Report-Only "default-src 'self'; script-src * 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline' https://*.googleapis.com; img-src 'self' data: http: https:; font-src 'self' data: https://*.gstatic.com; connect-src 'self' http: https:; frame-src 'self' https:; object-src 'none'; base-uri 'self'; form-action 'self'; upgrade-insecure-requests;" always;
#SECURITY-HEADERS-END
# ... 后续location、PHP处理、反向代理、缓存规则保持不变 ...
}六、验证与生效
修改完成后，通过以下步骤验证：
ＳＳＨ执行
nginx -t检查语法，确保无conflicting server name等报错执行
nginx -s reload平滑重载配置浏览器访问站点，打开Ｆ１２开发者工具，确认：
Ｎｅｔｗｏｒｋ标签中广告脚本状态为２００，无
(blocked:csp)Ｒｅｓｐｏｎｓｅ Ｈｅａｄｅｒｓ中包含
content-security-policy-report-only而非content-security-policyＧｏｏｇｌｅ ＡｄＳｅｎｓｅ后台查看广告单元，确认展示恢复正常
七、总结
对于以内容展示和工具服务为主的站点，强制ＣＳＰ的维护成本远高于安全收益。将Ｃｏｎｔｅｎｔ－Ｓｅｃｕｒｉｔｙ－Ｐｏｌｉｃｙ降级为Ｃｏｎｔｅｎｔ－Ｓｅｃｕｒｉｔｙ－Ｐｏｌｉｃｙ－Ｒｅｐｏｒｔ－Ｏｎｌｙ，并彻底放开ｓｃｒｉｐｔ－ｓｒｃ，是目前平衡广告变现与基础安全防护的最优解。同时补齐ｓｅｒｖｅｒ＿ｔｏｋｅｎｓ、<Ｘ－Ｆｒａｍｅ－Ｏｐｔｉｏｎｓ等安全头，可在不破坏业务的前提下，维持合理的安全基线。