CSP 策略分析器

粘贴 Content-Security-Policy 标头，找出过于宽松或缺失的指令（unsafe-inline、unsafe-eval、通配符 *、缺少的关键指令）。分析完全在您的浏览器中进行。

示例：

工作原理

内容安全策略（CSP，Content-Security-Policy）是一个 HTTP 标头，用于限制页面可以加载或执行内容的来源（脚本、样式、图片、字体等），以减轻 XSS 漏洞造成的影响。本工具会把粘贴的标头按指令逐条拆分，并应用一组常见的启发式规则，找出过于宽松的配置。

为什么 'unsafe-inline' 被标记为危险？

使用 'unsafe-inline' 后，任何直接注入 HTML 的脚本（例如通过 XSS 漏洞）都会正常执行，CSP 在这一点上几乎不再起任何拦截作用，这使得它对内联脚本的保护价值大打折扣。

这个工具会检查我的网站实际生效的 CSP 吗？

不会：它只分析您粘贴的文本。若要检查服务器实际发送的 CSP，请在浏览器开发者工具（网络面板）中查看 HTTP 响应标头，并把其值粘贴到这里。

隐私：分析完全在您的浏览器中进行，粘贴的策略绝不会发送到服务器。