CSP 生成與檢查
生成 CSP 響應頭或檢查已有策略，診斷重複指令、過寬來源及 nonce／哈希組合。
生成可檢查的響應頭
生成模式提供明確的來源列表，也可每行添加一條指令。結果含規範化策略、完整響應頭文本和解析視圖。“僅報告”改變響應頭名稱，仍需在自己的服務器配置發送；本工具不會把輸入應用到本站。
分析保留重複指令，並標記後續同名指令被忽略：同一策略內第一條同名指令生效。逗號分隔的多條策略分別保留，效果取交集，不是將全部允許來源合併。
結合上下文理解診斷
檢查包括來源語法、哈希長度、過短 nonce、unsafe-inline、unsafe-eval、通配／HTTP／data 來源、none 與其他值共存，以及 strict-dynamic 缺少 nonce 或哈希。診斷碼指出對應指令；未知新指令仍保留，不靜默刪除。
這是策略編輯器和部分檢查器，並非完整安全審計。每個響應應生成新的不可預測 nonce，不要把固定示例複製到生產。strict-dynamic 會改變兼容瀏覽器對主機白名單的處理。應先測試真實頁面並觀察報告，再決定強制執行。CSP3 參考文檔屬於工作草案。
參考
常見問題
Report-Only 會阻止腳本嗎？
不會。配置報告目的地後它用於報告違規；阻止執行需要強制的 Content-Security-Policy 響應頭。
默認策略能直接用於所有網站嗎？
不能。內聯代碼、字體、框架、API 與第三方資源各不相同，需要檢查實際資源並在瀏覽器驗證。
輸入會上傳嗎？
不會。處理在瀏覽器中執行，引擎從本站加載；工具不將輸入發送至處理 API，也不保存輸入。清除可移除可見輸入與結果。