⛨
CSP 生成器
按回落链算每条指令实际生效的来源，审计静默失效的写法（unsafe-inline 被 nonce 忽略、strict-dynamic 忽略白名单、meta 不支持的四条指令），导出 HTTP 头 / meta / Nginx / Next.js。
浏览器本地执行安全HTTP 头
正在加载工具…
使用说明
- 指令不是一组独立开关，而是一条回落链：没写 img-src 不代表图片被放开，它落到 default-src。反过来只要 default-src 写了 'none'，所有没列出的取回指令就都被关掉。
- 「实际生效」页把每条指令真正起作用的那条和来源摊开——这比生成本身更有用，因为静默回落正是配错 CSP 最常见的方式。
- base-uri、form-action、frame-ancestors、sandbox 与报告类指令不参与回落链。default-src 'none' 不会顺带禁掉 <base> 注入或表单外发。
- script-src 同时含 'unsafe-inline' 与 nonce/hash 时，按 CSP3 规范 'unsafe-inline' 被忽略——看着更宽松，实际是 nonce 生效、内联被挡。
- 'strict-dynamic' 存在时，'self' 与主机白名单在支持 CSP3 的浏览器里被忽略，留着旧白名单只会让人以为它还在起作用。
- Report-Only 只报告不阻断。拿它上线等于没配 CSP，观察期结束要切回强制模式。
- frame-ancestors / report-uri / report-to / sandbox 写进 <meta> 会被浏览器忽略，只能通过 HTTP 头下发。