内容安全策略分析器

解决的问题

内容安全策略（CSP）是抵御 XSS、数据注入等攻击的最后一道防线，但现实中的 CSP 头往往两头走极端：要么堆满 unsafe-inline、unsafe-eval 和通配符 *，等于形同虚设；要么规则过严，上线后直接把正常业务打挂。人工审查策略头既耗时又容易漏掉隐蔽的宽松指令，而安全报告（report-only）里的海量数据也很难快速收敛成可执行的收紧方案。

核心能力

该技能基于开源的 csp-parse 与 csp-evaluator 库，把分析过程拆成三个关键步骤：

• 解析：将 CSP 响应头拆解为指令（directive）与源表达式（source）的结构化表示，识别每个指令覆盖的资源类型。
• 评估：逐条判断指令是否过于宽松，例如 script-src 中出现 unsafe-inline、过宽的 host 源，或关键指令完全缺失。
• 建议：针对发现的问题输出可收紧的策略修改建议，帮助团队把策略往"默认拒绝"的方向收敛。

适用边界

需要明确的是，它是静态分析工具：输入是策略头文本，不是流量代理，也不会替你验证线上真实页面的资源加载情况。因此生成的收紧建议必须配合 Report-Only 模式在实际环境中验证，避免误伤合法请求。此外，它只解决 CSP 本身的质量评估问题，无法替代 CORS、安全响应头等其他防护手段。