Javascript 使用iframe CSP和http referer交付小部件

我正在开发一个web应用程序（像一个小部件），我的潜在客户将在他们的网站上为他们的用户使用它。我在考虑向他们交付应用程序的最佳方式，同时能够控制谁在使用我的小部件，以便我能够正确地向他们计费

我查看了一些以前的帖子，比如和，但它们已经7-10岁了，这和我想做的不完全一样

尽管如此，到目前为止。。。最好的交付方式似乎是以下组合：

• iframe

• 内容安全策略框架祖先

  HTTP头

• cookies

  +

  $http\u referer

  在服务器端检查以避免偷偷摸摸的用户

在加载时，我将发送一个带有URL的密钥，以提供定制/品牌版本，我计划在后续调用中使用cookie

我有几个问题：

我应该直接使用带有特定URL的iframe标记吗

或者我应该使用JavaScript使用相同的URL加载/创建iframe元素吗？除了能够延迟JS版本中iframe的加载之外，使用其中一个或另一个有什么好处吗

所以我计划使用

iframe

/

CSP

/

httpreferer

/

cookie

combo。。。有没有其他（更好的）方法来交付一个小部件，并确保只允许观众使用它

还有什么我不知道的吗

感谢您的帮助