CSP 分析器与生成器
检查 Content-Security-Policy 的薄弱点，或生成稳健的起步策略
输入
原始策略、响应头、Nginx add_header、Apache Header set 或 HTML meta 标签。
结果
详情
检查内容
CSP 分析器运行 Google 开源的 CSP Evaluator 检查，涵盖 unsafe-inline、unsafe-eval、通配符、仅协议来源、已知的白名单绕过主机、缺失的 object-src 和 script-src、nonce 质量以及 strict CSP 建议。第二层检查补充了 Evaluator 未覆盖的内容：重复指令、缺失的 base-uri 和 frame-ancestors、脚本来源中的 blob:、通配符 connect-src、报告配置、Report-Only 策略以及 meta 标签的限制。
输入格式
可粘贴原始策略、Content-Security-Policy 或 Content-Security-Policy-Report-Only 响应头行（也可位于完整的响应头转储中）、Nginx add_header 指令、Apache Header set 行或 HTML meta 标签。找到多条策略时，会分别分析每一条，因为浏览器会同时执行所有策略。
态势评级
评级从 100 分开始，按每条结果扣分：高危 30，语法错误 20，中危 15，可能高危 15，可能中危 8，strict CSP 建议 5。同类结果在每个指令中只计一次，可能高危与可能中危合计最多扣 24 分。90 分起为 A，75 分起为 B，60 分起为 C，40 分起为 D。这是对上述检查的启发式汇总，并不表示页面是安全的。
生成器
生成模式从预设开始（严格起点、静态网站、SPA + API 应用、Report-Only 灰度上线或全面锁定基线），可编辑每个指令，可选添加 nonce 占位符和 strict-dynamic，并输出响应头行、Nginx add_header 指令或 meta 标签。生成的策略会实时分析。新策略请先以 Report-Only 模式上线。
隐私
策略在你的浏览器中解析和分析。粘贴的文本不会被存储、添加到 URL 或发送到服务器；只有所选模式和输出格式会保存在此设备上。
