add_header Content-Security-Policy "frame-src 'self' https://www.youtube.com; script-src 'self' https://www.youtube.com" always;
YouTube 嵌入区块在前台只剩一行灰色链接，控制台报 Refused to load the script because it violates Content Security Policy，涉及 3 个域名。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。
追下去是这么回事：站点在响应头里下发了 CSP，frame-src 和 script-src 没有列出第三方域名，播放器脚本和 iframe 都被挡。安全插件默认策略通常只放行本站。
「嵌入区块 CSP 拦截」排查到最后往往是很小的一处差异，前面那些复杂猜测可以先放一放。同类问题如果隔一段时间又出现，多半是某个定时任务或重启流程把改动冲掉了。
把这次用到的命令存进笔记，比记住结论有用，换个环境还能照着走。改完隔一天再看一次，当场正常不代表能稳住。
测试环境和线上的差别，往往就在版本号和那几行被忽略的配置上。
处理上按这个顺序：在 CSP 里补上需要的第三方域名 分别放行框架和脚本；先用只上报模式观察一周 不要直接拦死；改完清一次页面缓存 用无痕窗口验证。
确认没问题再收工，嵌入区块正常显示播放器封面，控制台不再出现 CSP 拒绝记录。