CSP 生成与检查
生成 CSP 响应头或检查已有策略，诊断重复指令、过宽来源及 nonce／哈希组合。
生成可检查的响应头
生成模式提供明确的来源列表，也可每行添加一条指令。结果含规范化策略、完整响应头文本和解析视图。“仅报告”改变响应头名称，仍需在自己的服务器配置发送；本工具不会把输入应用到本站。
分析保留重复指令，并标记后续同名指令被忽略：同一策略内第一条同名指令生效。逗号分隔的多条策略分别保留，效果取交集，不是将全部允许来源合并。
结合上下文理解诊断
检查包括来源语法、哈希长度、过短 nonce、unsafe-inline、unsafe-eval、通配／HTTP／data 来源、none 与其他值共存，以及 strict-dynamic 缺少 nonce 或哈希。诊断码指出对应指令；未知新指令仍保留，不静默删除。
这是策略编辑器和部分检查器，并非完整安全审计。每个响应应生成新的不可预测 nonce，不要把固定示例复制到生产。strict-dynamic 会改变兼容浏览器对主机白名单的处理。应先测试真实页面并观察报告，再决定强制执行。CSP3 参考文档属于工作草案。
参考
常见问题
Report-Only 会阻止脚本吗？
不会。配置报告目的地后它用于报告违规；阻止执行需要强制的 Content-Security-Policy 响应头。
默认策略能直接用于所有网站吗？
不能。内联代码、字体、框架、API 与第三方资源各不相同，需要检查实际资源并在浏览器验证。
输入会上传吗？
不会。处理在浏览器中执行，引擎从本站加载；工具不将输入发送至处理 API，也不保存输入。清除可移除可见输入与结果。