来源、安全与排查

来源校验

每次加载、创建匿名会话和发送消息时，服务端都会校验网站 Origin。来源必须与配置完全匹配：

• https://example.com 与 https://www.example.com 是两个来源；
• http://localhost:5188 与 http://localhost:3000 是两个来源；
• 路径不参与来源配置。

不要为了方便加入不受你控制的域名。

访客会话

• 访客不需要登录灵谐。
• 浏览器为当前网站和 Widget 保存匿名访客标识及短期会话。
• 会话令牌有有效期，过期后会自动重新创建。
• 消息提交带有客户端消息 ID，避免重复提交形成两条记录。
• 当前支持文本消息和最近历史记录，不支持流式回复。

内容安全策略

如果网站设置了 CSP，请按实际域名把嵌入资源加入 script-src、frame-src 和 connect-src。不要直接复制示例域名；以配置页生成代码中的脚本地址和 API 地址为准。

常见问题

页面没有出现入口

确认已启用、分身状态正常、当前域名已加入允许来源，并检查浏览器控制台是否被 CSP 或广告拦截扩展阻止。

显示“嵌入来源校验失败”

检查协议、域名和端口是否完全一致。开发环境常见问题是配置了 localhost，实际却通过 127.0.0.1 打开。

保存后仍不能使用

若配置正确仍无法使用，请联系灵谐支持确认当前配置状态。

位置没有变化

刷新承载页面以确保加载最新配置。移动端打开后的聊天窗口固定为全屏，左右设置只影响关闭后的入口。