CSP 内容安全策略生成器

🎯 快速预设

预设只是起点。上线前请在预发环境观察报告（Content-Security-Policy-Report-Only）中的拦截记录，确认无误后再切换为强制模式。

⚙️ 指令配置

📤 生成结果

⚠️ 配置要点

• 'unsafe-inline' 会显著削弱 script-src 的防护效果，能用 nonce 或 hash 就不要用它。
• frame-ancestors 在 meta 标签中不生效，必须通过响应头下发，它是防点击劫持的主要手段。
• 上线顺序建议：先只观察（Report-Only）→ 收集拦截日志 → 补齐白名单 → 再切换强制模式。
• CSP 是纵深防御的一层，不能替代输入校验、输出转义与服务端鉴权。