CSP 构建器 / 检查器
请粘贴一个CSP响应头；Report-Only请保留头部名称。此浏览器内文本检查最多支持16,384字符和128项指令，不验证网站实际行为或安全性。
全部在你的浏览器内处理，输入绝不会发送到服务器。
- 发送
- 不发送（在浏览器内处理）
- 保存
- 不保存（重新加载即清除）
- 外部API
- 无
- 对象
- 不连接任何外部对象
详细说明
- 输入内容只在本页面的浏览器内处理，不会发送到本站服务器或任何外部服务。
- 输入内容不会保存到服务器或浏览器存储中。关闭或重新加载页面即会清除。
- 页面本身的访问会记录在访问日志中（IP地址、时间、用户代理等）。工具页面不加载广告和访问分析。 隐私政策
在上方粘贴 CSP 即可查看诊断结果。
策略模板——应用前须测试
先保全原有策略，并在受控测试环境中修改。不要用此模板整体替换现有CSP。检查实际响应、主要页面、登录及外部集成；必要时恢复原配置。
default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; form-action 'self'; upgrade-insecure-requests
使用方法
- 1
请粘贴一个CSP响应头；Report-Only请保留头部名称。此浏览器内文本检查最多支持16,384字符和128项指令，不验证网站实际行为或安全性。
- 2
每条指令都会被解析，危险的取值将按严重程度列出。
- 3
先保全原有策略，并在受控测试环境中修改。不要用此模板整体替换现有CSP。检查实际响应、主要页面、登录及外部集成；必要时恢复原配置。
为什么重要
CSP有助于减轻XSS影响，但还须检查来源列表、指令优先关系及nonce/hash实现。default-src不限制form-action或frame-ancestors。Report-Only不会阻止代码或连接，须另行验证强制策略。
常见问题
Q粘贴的内容会被发送到任何地方吗？
A
不会。解析全部在浏览器内（JavaScript）完成，你的输入不会被发送到服务器。
Qunsafe-inline 为什么危险？
A
宽泛的内联许可可能削弱防护。但结合nonce、hash或脚本strict-dynamic时，支持这些机制的浏览器可能忽略unsafe-inline。此文本检查不验证nonce随机性、复用或与网站实现是否一致。