马上默 在线轻量工具箱
登录

CSP 安全策略生成器

为每个资源类型（script-src、style-src、img-src…）勾选允许来源，即时生成 Content-Security-Policy 响应头与等效 meta 标签写法，支持 nonce、报告模式（Report-Only）与 report-uri，并自动评估配置风险。

指令与来源勾选

点击徽章切换允许来源；「自定义」输入框可填域名，多个用空格分隔（如 cdn.example.com）。

生成结果

策略将显示在这里

模板预设（9 组真实场景）

点选模板会把对应来源写入上方勾选器，之后仍可继续增删；模板只是起点，上线前请结合实际域名调整。

多格式导出

同一策略按部署环境转写，复制或下载即可粘贴；报告模式会自动切换为 Content-Security-Policy-Report-Only。

勾选来源后自动生成所选格式…

指令覆盖图（自绘 SVG）

10 条常见指令逐格显示：已配置为实心蓝格，未配置为虚线框；含 unsafe-inline / unsafe-eval / * 的指令标橙色警告。

已配置 未配置（继承 default-src 或放行） 含高风险关键字

方案管理 · 数值对比 · 导出

调好的参数可存成方案随时载入，也能生成可分享链接；结果里的数值列会自动画成对比图，并支持导出 CSV / JSON。

最近方案 暂无

🛡口径说明与常见误填

先报告模式观察一周，再切强制模式上线。

指令结构
策略按分号分隔：default-src 兜底，script-src、style-src、img-src 等单独覆盖；没写到的指令自动继承 default-src。
来源关键字
'self' 表示同源，裸域名精确匹配，*.example.com 通配子域；'unsafe-inline' 放行内联脚本，属高风险项。
nonce
服务端每次响应生成随机串写进 script-src 'nonce-随机串'，内联 script 标签加同名 nonce 属性才允许执行，比 unsafe-inline 安全。
Report-Only
用 Content-Security-Policy-Report-Only 头时违规资源照常加载，只把详情 POST 到 report-uri，适合灰度观察。
upgrade-insecure-requests
让页面里的 http 资源自动升级为 https 请求，已完成 HTTPS 迁移的站点建议开启。

这个工具解决什么问题

为脚本、样式等每个资源类型勾选允许来源，本页即时生成 Content-Security-Policy 响应头与等效 meta 标签写法，支持 nonce、报告模式（Report-Only）与 report-uri，并自动评估 unsafe-inline 等风险项；结果可复制或导出 Nginx add_header 配置片段，纯浏览器本地生成、不上传任何域名与策略。

三条上线 CSP 铁律

① 先报告模式再强制：用 Report-Only 跑几天收集违规上报，把缺的来源补进策略再切 enforce；直接强制上线最常误伤第三方脚本。

② unsafe-inline 别随手开：开了它等于该资源类型的 XSS 防线形同虚设；必须放行内联脚本时改用 nonce 或 hash 方案。

③ default-src 先收紧：先把 default-src 收到 self，再按需逐条放开具体指令；只写 script-src 其余留空等于没防。

怎么用

  1. 第 1 步 · 勾选各指令来源
    在 script-src、style-src、img-src 等指令下点来源徽章，自定义域名填入输入框（空格分隔）。
  2. 第 2 步 · 选模式与增强项
    新站点先选「报告模式」填 report-uri；需放行内联脚本就勾选 nonce 并填示例值。
  3. 第 3 步 · 看风险评估
    结果区下方逐条列出高风险（unsafe-inline、通配来源）与中风险项，据此收紧。
  4. 第 4 步 · 复制头或导出配置
    「复制响应头」贴进应用中间件，「下载 Nginx 配置」得到 add_header 片段。

更新记录

  • v1.0 2026-11-02
  • 2026-11-02 上线首个版本
  • 2026-11-02 完善结果展示

常见问题

csp 策略头怎么写？
基本结构是 Content-Security-Policy: default-src 加各指令、分号分隔。本页勾选来源即可得到完整可用的头，复制后加到 Nginx add_header 或应用中间件里。
content-security-policy 报错怎么解决？
先看浏览器控制台报错里被拦截的指令名与资源 URL，再把该来源（如 cdn.jsdelivr.net 或 unsafe-inline）加入对应指令。上线前建议先用报告模式观察，不影响页面功能。
csp nonce 怎么用？
服务端为每个请求生成随机串，写进策略 script-src 的 nonce 来源，同时给内联 script 标签加同名 nonce 属性，只有带正确 nonce 的内联脚本会被执行，比 unsafe-inline 安全得多。本页勾选 nonce 即可生成示例写法。
在线生成 csp 配置工具有吗？
就是本页：纯浏览器本地生成，不上传任何域名或策略内容，结果可直接复制，也可导出为 Nginx add_header 配置片段。
csp 报告模式是什么？
用 Content-Security-Policy-Report-Only 头时，违规资源照常加载，只把违规详情 POST 到 report-uri，方便灰度调策略；确认无误后再切换为强制模式。

💬 留言板 0

全部留言需审核通过后展示
💬

还没有留言，来抢沙发吧！

✍️ 说点什么
0 / 500
图形验证码

🔗 相关工具

🍪 Cookie 解析查看器同为响应头安全属性排查工具 → 🔌 cURL 命令转换生成器用 curl 验证 CSP 响应头是否生效 → 🧾 JSON-LD 生成器同为表单式代码片段生成器 → 📊 Mermaid 图表实时预览同为纯浏览器本地工作台 →
👣 做完这一步，顺便看看
🏛️ 凯撒密码解密 凯撒密码解密 ：1~25 位位移加解密、ROT13 一键转换… → 🔤 乱码转换器在线修复 乱码转换器在线 ：把“锟斤拷”“�”“涓枃”“😀”等乱… → 📸 代码截图美化工具 在线代码转图片工具：粘贴或输入代码（支持 JavaScrip… → 🎨 WCAG 对比度检测工具 在线颜色对比度检测工具：输入前景文字色与背景色（支持 #he… →
全部工具 →