Reporting API由浏览器根据HTTP响应头自动触发，需服务器配置Report-To头和CSP中的report-to指令，仅上报CSP违规、证书错误等内核级安全事件，不处理JS运行时错误。
Reporting API 不是 HTML 属性或标签，不能靠写 <script></script> 或 setCustomValidity 触发——它完全由浏览器在 HTTP 响应头配置后自动运行。
Report-To 响应头必须由服务器设置
浏览器不会读取 HTML 里的任何内容来初始化 Reporting API。你写的 Report-To 必须作为 HTTP 响应头（不是 <meta http-equiv>）由后端返回，否则整个流程直接失效。
- 常见翻车：用
<meta http-equiv="Report-To" content='{"group":"x","max_age":31536000,...}'>—— 这个标签被所有主流浏览器忽略 - 正确路径：Nginx / Apache / Express 等服务端加响应头；例如 Express 中：
res.set('Report-To', '{"group":"csp-report","max_age":31536000,"endpoints":[{"url":"https://your.domain/reports"}]}') - 验证是否生效：打开 DevTools → Network → 任意 HTML 请求 → Headers → Response Headers → 查找
Report-To字段
CSP 策略里必须引用 report-to 组名
光有 Report-To 头还不够，浏览器不知道该对哪些事件启用上报。你得在 Content-Security-Policy 里显式声明 report-to <group-name></group-name>，且组名要和 Report-To 中的 group 值严格一致。
- 错误写法：
Content-Security-Policy: default-src 'self'; report-to csp-violation;（但Report-To里定义的是"group": "csp-report"）→ 上报静默失败 - 正确写法：
Content-Security-Policy: default-src 'self'; report-to csp-report; - 注意：如果
Report-To没写group，默认组名为default，此时 CSP 必须写report-to default
浏览器只在特定错误类型下触发报告
Reporting API 不上报 JS 运行时错误（TypeError、ReferenceError），也不上报网络超时或 fetch 失败——它只处理浏览器内核级安全/网络事件，且需对应策略已启用。
立即学习“前端免费学习笔记（深入）”；
- 能上报的典型场景：
- CSP 违规（
script-src加载了非白名单脚本）→type: "csp-violation" - 证书错误（如自签名 HTTPS）→
type: "certificate-error" - 混合内容（HTTPS 页面加载 HTTP 资源）→
type: "mixed-content" - 网络错误（需额外配
NEL头）→type: "network-error"
- CSP 违规（
- 不能上报的：
-
console.error()、throw new Error()、window.onerror捕获的异常 - fetch() 返回 4xx/5xx 响应码（这是业务逻辑错误，不是浏览器判定的“问题”）
-
上报 endpoint 必须支持 CORS 和 POST
浏览器发送报告时用的是异步 POST 请求，目标 URL 若跨域，就必须明确允许来自任意源的请求，否则报告会被浏览器拦截且无提示。
- 必需响应头（示例）：
-
Access-Control-Allow-Origin: *（或精确域名） Access-Control-Allow-Methods: POSTAccess-Control-Allow-Headers: Content-Type
-
- 服务端必须接受
application/reports+json或application/json类型的请求体（实际中多数用后者） - 收到报告后必须返回 2xx 状态码；返回 4xx/5xx 会导致浏览器重试（有退避策略），但不会报错到控制台
最容易被忽略的一点：Report-To 的 max_age 是秒级缓存时间，过期后浏览器就不再发送报告——但这个过期不会触发任何警告，页面一切照常，只是错误数据突然归零。上线后记得定期检查 Report-To 头是否仍有效，别等告警断了才去翻 Nginx 配置。
