CSP 策略构建器

按指令逐条构建 Content-Security-Policy 策略，为每条指令添加允许的来源，然后获取可直接粘贴到 HTTP 标头或 meta 标签中的最终字符串。所有构建都在您的浏览器中本地完成。

示例：

添加指令

default-src

'self'

script-src

'self'

style-src

'self'

生成的 CSP 策略

default-src 'self'; script-src 'self'; style-src 'self';

工作原理

无需手写复杂的 CSP 字符串，只需添加您需要的指令（script-src、style-src、img-src 等），并为每条指令指定允许的来源（关键字如 'self'、域名、协议如 data:）。随后，本工具会按 Content-Security-Policy 标头要求的格式拼装出最终字符串。

生成的策略应该放在哪里？

最可靠的方式是由您的服务器或 CDN 以 HTTP 标头 Content-Security-Policy 的形式发送。也可以通过 <head> 中的 <meta http-equiv="Content-Security-Policy" content="..."> 标签设置，但有一些限制（例如 frame-ancestors 等指令在其中不会生效）。

是否总是需要包含 default-src？

强烈建议包含：default-src 会作为所有未明确定义的资源类指令的回退值，避免因疏忽而让某类资源完全不受限制。

隐私：构建过程完全在您的浏览器中进行，不会向服务器发送任何数据。