HTML怎么做CSP违规上报_HTML CSP违规报告report-uri【新手必读】-html教程-PHP中文网

CSP违规上报必须用report-to而非已废弃的report-uri；需前端在CSP中配置report-to组名，服务端配合返回合法JSON格式的Report-To响应头，并确保HTTPS与CORS。

html怎么做csp违规上报_html csp违规报告report-uri【新手必读】

HTML 中的 CSP 违规上报不能只靠 report-uri——它在现代浏览器中已被弃用，直接配置会收不到任何报告。

report-uri 已被废弃，必须改用 report-to

Chrome 98+、Firefox 103+、Safari 15.4+ 全部停用 report-uri，即使你写了也不会触发请求。浏览器遇到该指令会静默忽略，不会报错，所以你可能一直以为“上报正常”，其实一条都没发出去。

report-uri 是 CSP Level 2 的旧机制，仅支持单个 HTTP endpoint，且不兼容 Report-To 标准
report-to 是 CSP Level 3 引入的替代方案，需配合 Report-To HTTP 响应头使用
若同时存在 report-uri 和 report-to，浏览器优先走 report-to，report-uri 彻底失效

正确启用 CSP 违规上报的两步操作

不是加一行 meta 或 header 就完事，CSP 上报是客户端 + 服务端协同流程，缺一不可。

htmlppt.skill

把任意文章或文档内容转换成精美的全屏翻页 HTML 演示文件（幻灯片风格）。当用户发来一篇文章、文档链接、Markdown 内容、或粘贴的文本，并且希望生成演示用的 HTML 时触发。支持任意内容来源：iWiki 链接、KM 链接、本地文件路径、直接粘贴的文本。生成的 HTML 文件保存到本地工作区，并通过企微直接发送给用户。触发词示例：帮我把这篇文章做成PPT、转成演示文档、生成HTML幻灯片、做个演示、转成可以演示的格式、article to deck、make a slide。

下载

前端：在 Content-Security-Policy 响应头（或）中加入 report-to ，例如：report-to default
服务端：额外返回 Report-To HTTP 响应头，内容为 JSON 字符串，指定 endpoint、max_age、include_subdomains 等，例如：
```
{"default": {"endpoints": [{"url": "https://your-domain.com/csp-report"}], "max_age": 10886400, "include_subdomains": true}}
```
注意：Report-To 头的 JSON 必须是合法字符串，不能换行、不能有注释、引号必须是双引号；URL 必须支持 HTTPS 且同源或已配 CORS（否则浏览器拒绝发送）

常见上报失败原因和调试方法

CSP 违规报告不像 console.log 那样能立刻看到，很多问题藏在静默失败里。

浏览器控制台不会显示上报失败，但可在 Network 面板过滤 /csp-report 或查看 report-to 请求是否发出（注意：只在真违规时触发，非页面加载时）
测试是否生效：临时加一条违规规则，比如 script-src 'none'，然后在页面中执行 eval('') 或插入内联 script，触发违规后观察是否有 POST 请求发出
收到的报告是 JSON 格式，结构固定：{"csp-report": {"document-url": "...", "violated-directive": "...", "blocked-uri": "...", "line-number": 123}}，后端必须按此解析，不能当普通表单处理
如果用了 Service Worker，它可能拦截并丢弃 report-to 请求——确保 SW 的 fetch 事件未过滤掉上报 endpoint 路径

真正难的不是写对那几行 header，而是确认浏览器确实发出了报告、你的服务器确实收到了、且能稳定解析出 violated-directive 和 blocked-uri 这两个关键字段——它们才是定位问题的核心依据。