CSP 生成与检查工具

使用方法

1. 在 策略 中逐行输入指令，名称须与标准写法一致，例如 script-src。
2. 选择 发送方式：Content-Security-Policy 会执行策略，Content-Security-Policy-Report-Only 则是先用来测试的标头。
3. 阅读 按资源显示的实际规则，查看哪条指令管理脚本、样式、图片和框架。
4. 把 标头行 复制到服务器，并修正结果下方列出的每条警告。

哪条规则适用于某类资源

浏览器会用一条指令检查每类资源。如果该指令缺失，就沿着回退链向上查找，表格会显示所经过的链。回退链来自 CSP Level 3 第6.8.3节（英文）。

• 脚本：script-src-elem，然后 script-src，然后 default-src。
• 内联事件处理程序：script-src-attr，然后 script-src，然后 default-src。
• 样式表：style-src-elem，然后 style-src，然后 default-src。内联 style 属性按相同方式处理，使用 style-src-attr。
• 框架：frame-src，然后 child-src，然后 default-src。
• Worker：worker-src，然后 child-src，然后 script-src，然后 default-src。
• 图片、字体、媒体、插件、清单和 fetch 请求：先看各自的指令，然后是 default-src。

检查工具读取什么

指令之间用分号隔开，本工具也接受换行。指令名称读到第一个空格为止，并且不区分大小写。同一指令出现两次时，只采用第一次，重复的会被跳过（CSP Level 3 第2.2.1节）。

• 'self' 和 'none' 等关键字要用单引号括起来。'none' 必须单独出现在它的列表中。
• nonce 是 'nonce-' 加上 base64 值。哈希是 sha256、sha384 或 sha512，加一个连字符和 base64 值（第2.3.1节）。
• 指令值中不允许逗号，因为逗号在标头中用来分隔策略。

检查工具不做什么

• 它不加载页面，也不在浏览器中测试策略。表格显示的是浏览器会采用的规则，而不是您的页面是否仍能正常工作。
• 它检查关键字、nonce 和哈希的拼写，但不详细检查主机和协议源。
• 它不判断它没有列出的指令，例如 sandbox。这些指令会原样保留在标头行中。

常见问题