CSP 生成器

CSP 生成器的使用场景

• 给站点加 CSP 但记不住指令名
• 接手一个已有 header 想检查有没有明显漏洞
• 上线前做一轮 XSS 纵深防御自查

CSP 生成器怎么用

1. 逐项填写指令允许的源
2. 查看生成的 header 与风险提示
3. 复制 header 配置到 Nginx 或应用里

常见问题

生成后能直接强制上线吗？

建议先用 Content-Security-Policy-Report-Only 观察违规上报一段时间，确认没有误杀资源后再切到强制模式。

为什么要限制 object-src 与 base-uri？

object-src 不设 'none' 会允许插件类内容，base-uri 不设 'self' 可能被注入的 <base> 标签劫持相对 URL，两者都是常见的绕过点。

unsafe-inline 一定不能用吗？

能用 nonce 或 hash 替代最好；老系统过渡期可暂时保留，但要清楚它会显著削弱对 XSS 的防护。