CSP 建構器 / 檢查器
請貼上一個CSP回應標頭；Report-Only請保留標頭名稱。此瀏覽器內文字檢查最多支援16,384字元和128項指令，不驗證網站實際行為或安全性。
全部在你的瀏覽器內處理，輸入絕不會傳送到伺服器。
- 傳送
- 不傳送（在瀏覽器內處理）
- 儲存
- 不儲存（重新載入即清除）
- 外部API
- 無
- 對象
- 不連線任何外部對象
詳細說明
- 輸入內容只在本頁面的瀏覽器內處理，不會傳送到本站伺服器或任何外部服務。
- 輸入內容不會儲存到伺服器或瀏覽器儲存空間。關閉或重新載入頁面即會清除。
- 頁面本身的瀏覽會記錄在存取紀錄中（IP位址、時間、使用者代理等）。工具頁面不載入廣告與流量分析。 隱私權政策
在上方貼上 CSP 即可查看診斷結果。
原則範本——套用前須測試
先保全原有原則，並在受控測試環境中修改。不要用此範本整體取代現有CSP。檢查實際回應、主要頁面、登入及外部整合；必要時還原原設定。
default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; form-action 'self'; upgrade-insecure-requests
使用方法
- 1
請貼上一個CSP回應標頭；Report-Only請保留標頭名稱。此瀏覽器內文字檢查最多支援16,384字元和128項指令，不驗證網站實際行為或安全性。
- 2
每條指令都會被解析，危險的取值將依嚴重程度列出。
- 3
先保全原有原則，並在受控測試環境中修改。不要用此範本整體取代現有CSP。檢查實際回應、主要頁面、登入及外部整合；必要時還原原設定。
為什麼重要
CSP有助於減輕XSS影響，但還須檢查來源清單、指令優先關係及nonce/hash實作。default-src不限制form-action或frame-ancestors。Report-Only不會阻止程式碼或連線，須另行驗證強制原則。
常見問題
Q貼上的內容會被傳送到任何地方嗎？
A
不會。解析全部在瀏覽器內（JavaScript）完成，你的輸入不會被傳送到伺服器。
Qunsafe-inline 為什麼危險？
A
廣泛的行內許可可能削弱防護。但結合nonce、hash或指令碼strict-dynamic時，支援這些機制的瀏覽器可能忽略unsafe-inline。此文字檢查不驗證nonce隨機性、重複使用或與網站實作是否一致。