从合作方拿到的嵌入代码里有一段 1×1 的 img，页面每次打开都向第三方 track 域发请求，隐私政策里完全没提。碰到这种情况，我一般先确认改动有没有真的生效。
原因不复杂，合作方给的 iframe 代码附带了曝光像素，用来统计展示量，站点直接原样贴进了正文。页面没有做过第三方请求审计，CSP 也没有限制图片来源。
碰到「嵌入跟踪像素」这类问题，我习惯先把当前配置原样备份一份，改坏了立刻换回来，不用现场推。报错里带路径的，先去看那个路径在不在、权限对不对。
grep -oE '<img[^>]+>' embed.html grep -oE 'https?://[^"'"'"' ]+' embed.html | sort -u
同一份配置存在多处的，先确认改的是被加载的那一份。新版本先放一台机器上跑一天再全量，问题一般在这段时间暴露。
具体做法是，审查嵌入代码 删掉与播放无关的 img 和 script；CSP 的 img-src 加白名单 只允许自己的域；确实要统计就改服务端上报 并在隐私政策写明。
最后用这个标准收尾，文章页加载时 Network 里没有第三方 track 请求，播放功能不受影响。