Trình Phân Tích CSP
Phân tích Content-Security-Policy (CSP) và Content-Security-Policy-Report-Only cho bất kỳ URL nào. Phát hiện các chỉ thị rủi ro (unsafe-inline, ký tự đại diện), chiến lược nonce/hash bị thiếu, các mẫu lỗi thời và cung cấp các khuyến nghị hành động để tăng cường khả năng phòng thủ XSS. Hỗ trợ chuyển hướng, kiểm tra tiêu đề thô, lọc, phát hiện và xuất JSON/PDF.
Tính năng
- Phát hiện và giải thích các tiêu đề Content-Security-Policy và Content-Security-Policy-Report-Only.
- Đánh dấu các lỗi CSP phổ biến: unsafe-inline, unsafe-eval, ký tự đại diện rộng và các nguồn quá dễ dãi.
- Hướng dẫn thực thi script/style an toàn hơn thông qua các chiến lược dựa trên nonce và hash.
- Xác định các chỉ thị bị thiếu thường quan trọng trong việc tăng cường bảo mật thực tế (ví dụ: frame-ancestors, object-src, base-uri).
- Thông tin chi tiết về Report-Only: hiểu những gì sẽ bị chặn và cách triển khai CSP mà không làm gián đoạn sản xuất.
- Theo dõi chuyển hướng (tối đa 10) để phân tích chính sách phản hồi cuối cùng mà trình duyệt áp dụng.
- Chế độ xem tiêu đề thô để kiểm tra đầu ra máy chủ chính xác và gỡ lỗi.
- Phát hiện + thẻ điểm với bộ lọc "chỉ vấn đề".
- Xuất phân tích sang JSON hoặc PDF để kiểm toán, ghi chú và đánh giá bảo mật.
- Bao gồm nhận thức về tiêu đề lỗi thời để phát hiện các chính sách cũ và nhu cầu di chuyển.
🧭 Cách sử dụng for csp-analyzer
Nhập URL để phân tích
Dán URL trang bạn muốn kiểm tra (thường là trang chủ hoặc vỏ ứng dụng của bạn).
Bật theo dõi chuyển hướng nếu cần
Giữ "Theo dõi Chuyển hướng" được bật để công cụ phân tích đến đích HTTPS/www/ngôn ngữ cuối cùng nơi CSP thực sự được trả về.
Xem lại thẻ điểm và các phát hiện
Bắt đầu với các phát hiện để phát hiện rủi ro nghiêm trọng (unsafe-inline, ký tự đại diện, hạn chế bị thiếu) và hiểu chỉ thị nào đang ảnh hưởng đến điểm số.
Kiểm tra tiêu đề thô khi gỡ lỗi
Bật "Hiển thị Tiêu đề Thô" để xác minh tên/giá trị tiêu đề chính xác (hữu ích nếu có nhiều tiêu đề CSP hoặc proxy/CDN sửa đổi chúng).
Xuất báo cáo cho quy trình bảo mật của bạn
Tải xuống JSON để tự động hóa hoặc PDF để kiểm toán bảo mật và ghi chú kỹ thuật.
Thông số kỹ thuật
Mô hình yêu cầu
Công cụ này thực hiện kiểm tra tiêu đề URL và tập trung vào phân tích tiêu đề bảo mật, bao gồm các chính sách CSP và report-only.
| Thiết lập | Hành vi | Mặc định |
|---|---|---|
| Theo dõi Chuyển hướng | Theo dõi chuỗi chuyển hướng để phân tích chính sách hiệu quả được trả về bởi URL cuối cùng | Đã bật |
| Số lần Chuyển hướng Tối đa | Giới hạn chuyển hướng để ngăn vòng lặp | 10 |
| Thời gian chờ | Giới hạn thời gian chờ yêu cầu | 15000 ms |
| User-Agent | Xác định user agent của yêu cầu | Encode64Bot/1.0 (+https://encode64.com) |
| Mạng riêng tư | Chặn truy cập vào các dải mạng riêng tư vì lý do an toàn | Đã tắt (không cho phép mạng riêng tư) |
Các tiêu đề CSP được kiểm tra
Trình phân tích kiểm tra cả chính sách thực thi và không thực thi, và trình bày chúng dưới dạng dễ đọc.
| Tiêu đề | Ý nghĩa |
|---|---|
| Content-Security-Policy | Chính sách thực thi được áp dụng bởi trình duyệt |
| Content-Security-Policy-Report-Only | Chính sách không chặn chỉ báo cáo vi phạm (hữu ích cho việc triển khai và điều chỉnh) |
Những gì phân tích tìm kiếm
Các phát hiện dựa trên các kiểm tra tăng cường CSP thực tế và các lỗi triển khai phổ biến.
| Lĩnh vực | Ví dụ về phát hiện |
|---|---|
| Độ mạnh chính sách Script | việc sử dụng unsafe-inline / unsafe-eval, nguồn ký tự đại diện, thiếu chiến lược nonce/hash |
| Độ mạnh chính sách Style | style unsafe-inline, nguồn quá rộng, thiếu lộ trình chuyển đổi sang nonce/hash khi khả thi |
| Khả năng chống Framing và clickjacking | Thiếu hoặc hạn chế khung yếu (thường qua frame-ancestors) |
| Mẫu cũ / lỗi thời | Các chỉ thị hoặc mẫu cũ cần được hiện đại hóa |
| Sẵn sàng triển khai | Khả năng hiển thị của chế độ Báo cáo-Chỉ và các điểm cuối báo cáo |
Dòng lệnh
Sử dụng các lệnh này để kiểm tra nhanh các tiêu đề CSP. Chúng hữu ích để xác thực những gì công cụ phân tích báo cáo.
macOS / Linux
Lấy tiêu đề phản hồi (tìm kiếm CSP)
curl -I https://example.comKiểm tra Content-Security-Policy và Content-Security-Policy-Report-Only trong các tiêu đề phản hồi.
Theo dõi chuyển hướng trong khi kiểm tra tiêu đề
curl -IL https://example.comĐảm bảo bạn thấy các tiêu đề CSP từ điểm đến cuối cùng (HTTPS, www, app shell route).
Chỉ hiển thị tiêu đề CSP (khớp không phân biệt chữ hoa/thường)
curl -I https://example.com | grep -i "content-security-policy"Nhanh chóng tách biệt các tiêu đề CSP và báo cáo-chỉ từ toàn bộ tập hợp tiêu đề.
Windows (PowerShell)
Kiểm tra tiêu đề CSP
$r = Invoke-WebRequest -Uri https://example.com -Method Head; $r.Headers['Content-Security-Policy']; $r.Headers['Content-Security-Policy-Report-Only']Hiển thị các tiêu đề CSP thực thi và báo cáo-chỉ nếu có.
Các trường hợp sử dụng
Củng cố trang web chống lại XSS
Sử dụng CSP để giảm tác động của các lỗ hổng tiêm mã bằng cách hạn chế nơi tập lệnh/kiểu có thể tải từ và cách xử lý mã nội tuyến.
- Xác định unsafe-inline/unsafe-eval và lập kế hoạch chuyển đổi sang nonces/hashes
- Giới hạn nguồn script-src/style-src đến các nguồn gốc đáng tin cậy
- Thêm các chỉ thị phòng thủ còn thiếu (base-uri, object-src, frame-ancestors)
Triển khai CSP an toàn với Báo cáo-Chỉ
Giới thiệu CSP dần dần mà không làm gián đoạn sản xuất bằng cách bắt đầu với Content-Security-Policy-Report-Only và lặp lại trên các vi phạm.
- Phát hiện sự hiện diện của chính sách báo cáo-chỉ
- Hiểu điều gì sẽ bị chặn trước khi thực thi
- Xuất báo cáo cho kế hoạch triển khai và các ticket của bạn
Gỡ lỗi tập lệnh, iframe hoặc tiện ích bên thứ ba bị hỏng
CSP quá nghiêm ngặt có thể chặn phân tích, nhúng hoặc kết nối API. Sử dụng công cụ phân tích để xem chính sách cho phép điều gì và bạn có thể cần nguồn rõ ràng ở đâu.
- Xác nhận các nguồn script/img/connect/frame được phép
- Phát hiện ký tự đại diện quá rộng được thêm như một bản sửa lỗi nhanh
- Thay thế các cho phép rộng bằng các tên miền mục tiêu
Đánh giá bảo mật / bằng chứng tuân thủ
Tạo báo cáo nhất quán về tình trạng CSP hiện tại cho các đánh giá bảo mật, bảng câu hỏi khách hàng hoặc tuân thủ nội bộ.
- Tải JSON để theo dõi thay đổi theo thời gian
- Tải PDF để lưu trữ kiểm tra và chia sẻ
❓ Frequently Asked Questions
❓CSP là gì và nó bảo vệ chống lại điều gì?
❓Sự khác biệt giữa CSP và CSP Report-Only là gì?
❓Tại sao unsafe-inline được coi là nguy hiểm?
❓Tôi có cần nonce hoặc hash không?
❓CDN hoặc proxy có thể thay đổi tiêu đề CSP của tôi không?
❓CSP có thay thế việc sửa lỗi XSS không?
❓Có an toàn khi dán URL ở đây không?
Pro Tips
Bắt đầu với Content-Security-Policy-Report-Only, thu thập vi phạm, sau đó thắt chặt và thực thi. CSP là lặp đi lặp lại cho các ứng dụng thực tế.
Thay thế unsafe-inline bằng chiến lược nonce hoặc hash. Giữ chính sách rõ ràng và tối thiểu.
Thêm frame-ancestors để giảm rủi ro clickjacking và tránh chỉ dựa vào tiêu đề cũ.
Tránh ký tự đại diện rộng như một giải pháp nhanh. Ưu tiên tên miền mục tiêu cho kịch bản/hình ảnh/kết nối và xem xét nhu cầu của bên thứ ba.
Xuất báo cáo JSON và theo dõi thay đổi CSP trong CI để bạn phát hiện các hồi quy khi tiêu đề bị sửa đổi bởi cập nhật CDN/ứng dụng.
Additional Resources
Other Tools
- Bộ Làm Đẹp CSS
- Bộ Làm Đẹp HTML
- Bộ Làm Đẹp Javascript
- Bộ Làm Đẹp PHP
- Bộ Chọn Màu
- Bộ Trích Xuất Sprite
- Bộ Mã Hóa Nhị Phân Base32
- Bộ Giải Mã Base32
- Bộ Mã Hóa Base32
- Bộ Mã Hóa Nhị Phân Base58
- Bộ Giải Mã Base58
- Bộ Mã Hóa Base58
- Bộ Mã Hóa Nhị Phân Base62
- Bộ Giải Mã Base62
- Bộ Mã Hóa Base62
- Bộ Mã Hóa Nhị Phân Base64
- Bộ Giải Mã Base64
- Bộ Mã Hóa Base64
- Bộ Mã Hóa Nhị Phân Hex
- Bộ Giải Mã Hex
- Bộ Mã Hóa Hex
- Bộ Định Dạng Csharp
- Bộ Định Dạng CSV
- Dockerfile Formatter
- Bộ Định Dạng Elm
- Bộ Định Dạng ENV
- Bộ Định Dạng Go
- Bộ Định Dạng GraphQL
- Bộ Định Dạng HCL
- Bộ Định Dạng INI
- Bộ Định Dạng JSON
- Bộ Định Dạng Latex
- Bộ Định Dạng Markdown
- Bộ Định Dạng ObjectiveC
- Php Formatter
- Bộ Định Dạng Proto
- Bộ Định Dạng Python
- Bộ Định Dạng Ruby
- Bộ Định Dạng Rust
- Bộ Định Dạng Scala
- Bộ Định Dạng Tập Lệnh Shell
- Bộ Định Dạng SQL
- Trình Định Dạng SVG
- Trình Định Dạng Swift
- Trình Định Dạng TOML
- Typescript Formatter
- Trình Định Dạng XML
- Trình Định Dạng YAML
- Trình Định Dạng Yarn
- Bộ Thu Nhỏ CSS
- Html Minifier
- Javascript Minifier
- Bộ Thu Nhỏ JSON
- Trình Thu Nhỏ XML
- Cache Headers Analyzer
- Cors Checker
- Dns Records Lookup
- Trình Xem Tiêu Đề HTTP
- Http Status Checker
- Open Graph Meta Checker
- Redirect Chain Viewer
- Robots Txt Tester
- Security Headers Checker
- Security Txt Checker
- Sitemap Url Inspector
- Tls Certificate Checker
- PDF Sang Văn Bản
- Bộ Kiểm Tra Regex
- Bộ Kiểm Tra Xếp Hạng SERP
- Tra Cứu Whois