CSP 调试器文档

01

可以粘贴哪些内容

可粘贴完整 Content-Security-Policy 响应头、报告模式策略或浏览器控制台违规信息。Scopeva 能识别常见指令、source expression 和浏览器报告的 effective directive。

处理留在浏览器中，策略文本不会提交给 Scopeva。

• 完整 CSP 响应头
• script-src 等单独指令
• 包含被阻止 URL 和指令的控制台信息

02

理解建议

建议会解释可能缺少的 source expression 以及应检查的指令，它们是排查起点，而不是可直接复制到生产环境的策略。

优先使用范围明确的主机、nonce 或 hash。不要只为消除错误而加入宽泛通配符或 unsafe-inline，因为这会削弱策略保护。

03

强制执行前先测试

先以 report-only 模式部署策略变更，检查真实违规报告并验证关键用户路径。只有在预期脚本、样式、frame 和网络请求都被有意覆盖后，再切换到强制模式。