UD5工具箱
核心功能特性
内容安全策略生成器提供了一套完整的CSP配置工作流，从策略选择到部署输出，每个环节都经过精心设计。以下是各项功能的详细说明。
三档安全预设模板
工具内置三套经过验证的CSP预设模板，覆盖从高安全到高兼容的不同需求场景：
- 严格模式 — 仅允许同源资源加载，禁止所有内联脚本和eval，适用于安全要求极高的银行、政务类应用。该模式下script-src默认设为'self'，不包含'unsafe-inline'，能有效防御XSS攻击
- 中等模式 — 在严格模式基础上开放部分灵活性，允许特定域名的外部资源加载，适合大多数企业级Web应用。平衡了安全性与功能性
- 宽松模式 — 允许更广泛的资源来源，适用于需要大量第三方服务集成的项目，如CDN资源、社交媒体嵌入等。作为逐步收紧策略的起点
用户只需点击对应按钮即可一键应用模板，所有指令会自动填充为推荐值，再根据项目实际需求进行微调。
Nonce安全随机数生成
Nonce（Number used once）是CSP Level 2引入的关键安全机制，允许带有特定随机数属性的内联脚本执行。本工具内置Nonce生成器：
- 点击“生成Nonce”按钮，自动生成符合CSP规范的Base64编码随机字符串
- 生成的Nonce值可一键复制，同时提供“添加到script-src”快捷操作
- 配合script-src使用时，脚本标签需添加nonce属性，格式如：
<script nonce="生成的值"> - 每次页面刷新建议重新生成Nonce，确保安全性
布尔指令配置
工具提供两个重要布尔指令的开关配置：
- upgrade-insecure-requests — 开启后，浏览器会自动将页面中所有HTTP资源请求升级为HTTPS，适用于从HTTP迁移到HTTPS的过渡阶段
- block-all-mixed-content — 开启后，阻止页面加载任何HTTP资源，强制全站HTTPS。与upgrade-insecure-requests配合使用可实现最严格的混合内容防护
完整指令配置面板
支持配置CSP规范中的所有主流指令，每条指令可独立设置允许的来源列表：
- default-src — 默认资源加载策略，未被其他指令覆盖的资源类型回退到此规则
- script-src — 控制JavaScript脚本的来源，CSP安全的核心指令
- style-src — 控制CSS样式表的来源
- img-src — 控制图片资源的来源
- font-src — 控制字体文件的来源
- connect-src — 控制fetch/XHR/WebSocket等网络请求的目标
- media-src — 控制音视频资源的来源
- object-src — 控制Plugin（如Flash）的来源
- child-src — 控制Worker和iframe的内容来源
- frame-src — 控制iframe嵌入内容的来源
- frame-ancestors — 控制当前页面可被哪些来源嵌入iframe
- form-action — 控制表单提交的目标地址
- base-uri — 控制base标签的href属性允许的值
- report-uri — 指定CSP违规报告的接收端点
每条指令支持的值包括：'self'、'none'、'unsafe-inline'、'unsafe-eval'、域名、URL模式（通配符）、nonce-*、sha256-*等。
实时预览双格式输出
配置过程中，工具底部的预览区域会实时更新两种部署格式：
- HTTP响应头 — 直接复制用于Nginx、Apache等Web服务器配置的Content-Security-Policy头
- HTML Meta标签 — 可嵌入HTML head中的meta标签格式，适合静态页面或无法配置服务器头的场景
每种格式旁均提供一键复制按钮，方便直接粘贴到配置文件中。
Report-Only模式
工具支持生成Content-Security-Policy-Report-Only头，用于在不影响页面功能的前提下测试CSP配置：
- 开启后，输出格式从Content-Security-Policy变为Content-Security-Policy-Report-Only
- 浏览器只会报告违规行为而不会实际阻止资源加载
- 适合CSP部署初期的渐进式测试，收集违规报告后再切换为强制模式
配置统计
预览区域实时显示已配置的指令数量，帮助用户了解当前策略的覆盖范围。未配置的指令不会出现在最终输出中，确保策略头简洁高效。