CSP 分析器
粘贴 CSP 值、Content-Security-Policy 标头行或完整 HTTP 响应标头，检查指令、检测来源方面的注意事项，并查看结构化策略摘要。强制策略和仅报告策略分别分析。分析在浏览器内完成，不连接服务器。
分析粘贴的 Content-Security-Policy 值或完整响应头，对指令和 source 表达式分类，并提示需要关注的策略模式。
如何分析 CSP
- 粘贴 CSP 值、CSP 响应头或完整 HTTP 响应头。
- 查看 enforcing/report-only 策略、指令、source 和复核数量。
- 检查重复指令、空值、*、unsafe-inline、unsafe-eval 以及 object-src/default-src 缺失。
检查内容
识别 default-src、script-src、style-src、img-src、font-src、connect-src、media-src、object-src 等常见 fetch 指令以及若干文档与报告指令。
对 self、none、wildcard、unsafe-inline、unsafe-eval、nonce、hash、strict-dynamic、scheme、host 分类，并将部分宽松或冲突组合标记为需要复核。
隐私与限制
只在浏览器中解析 CSP 文本，不会加载页面、脚本、图片或报告端点。它是结构化策略检查器，并不是浏览器 CSP 执行引擎，也不能证明网站不存在 XSS 风险。
CSP Analyzer 常见问题
会加载 CSP 对应页面吗？
不会，只分析粘贴的策略。
支持 Report-Only 吗？
支持，会单独显示。
会提示 unsafe-inline 吗？
会，作为需要复核的项。
没有问题就代表网站安全吗？
不代表，CSP 只是安全的一部分。
会请求 report-uri 吗？
不会，不发送网络请求。