CSP 生成器
Content-Security-Policy 可视化生成与解析，unsafe 风险提示。
指令（一行一条 `指令名: 值`）
0 字符1 行0 B
输入后自动处理。
使用说明
这个工具解决什么问题
CSP 是防注入的硬手段,但指令几十条、写法讲究多:一条 unsafe-inline 让防护归零,一个通配符让来源限制失效,上线前没人替你把关。这个工具逐条勾选生成策略,危险写法当场提示;反过来,粘贴现成的 CSP 也能拆解出每条指令的含义与风险点。
核心能力
逐条生成:default-src、script-src、style-src 等常用指令逐条配置,即选即得完整策略。风险提示:unsafe-inline、unsafe-eval、通配符等写法明确标注风险,不让你无感踩坑。反向解析:粘贴现有 header 值拆成指令清单,逐条附说明。直接可用:输出标准的策略文本,复制进服务器或 CDN 配置即可生效。
使用建议
从最严策略起步,报错再逐条放宽,别从宽松往回收;上线前先走 Report-Only 观察期;定期回看解析结果,清理不再使用的来源,策略越短越好。
生成与解析纯文本处理,纯浏览器本地运行,不上传服务器;策略只管浏览器侧行为,服务端漏洞仍需另行治理。
常见问题
为什么 unsafe-inline 不安全?
允许内联脚本等于给注入攻击开绿灯:攻击者注入的脚本代码也是内联的,CSP 拦不住它。正确做法是用 nonce 或哈希,只放行自己页面里的内联代码。工具会在你勾选 unsafe-inline 时给出明确风险提示。
生成的策略上线前要注意什么?
先用 Report-Only 模式上线,只报告不拦截,观察一段时间没有误报再切成强制。否则一条没配全的策略可能把自家脚本、样式全部拦掉,页面直接白屏。
能解析别人网站的 CSP 吗?
能解析你复制来的 CSP 文本。把响应头里 policy 的值粘进来,工具按指令逐条拆解并附说明,告诉你每条管什么、哪里写得有风险。只做文本解析,不会去请求目标网站。