chrome不提供csp配置界面，csp须由服务器通过响应头或meta标签下发；用户仅能验证（application面板）、临时注入report-only策略审计（console加meta或network改响应头），或配合服务端启用strict-dynamic机制。
你想在谷歌浏览器中主动配置Content Security Policy（CSP）来防御XSS、恶意脚本注入等攻击，但必须明确：Chrome本身不提供用户可开启的CSP配置界面，CSP策略必须由网站服务器通过HTTP响应头或HTML meta标签主动下发，浏览器只负责强制执行；你无法在设置里“打开CSP开关”，只能验证、调试或临时注入策略进行安全审计。
验证当前网页是否已启用CSP
打开目标网页→按F12调出开发者工具→切换到“Application”面板→左侧选择“Manifest”下方的“Content Security Policy”项。若页面已配置CSP，此处会列出全部生效指令及来源（如来自响应头或meta标签）。若显示“No content security policy found”，说明该站点未部署任何CSP策略，完全暴露于内联脚本注入风险中。
注意：此步骤仅用于检测，不修改任何配置。
临时注入CSP策略进行本地审计（开发者专用）
该方法不改变网站真实配置，仅在当前标签页强制添加report-only模式的CSP，用于发现潜在XSS漏洞点。适用于渗透测试、开发自测或教学演示。
方法一：控制台注入meta标签（无需刷新即可生效）
打开目标网页→按F12→切换至Console面板→粘贴并执行以下代码：
document.querySelector('head').innerHTML += '';
刷新页面后，观察Console中是否出现红色csp-violation警告——若有，说明页面存在未经许可的内联脚本执行行为，属于高风险XSS上下文。该方式对含nonce或sha256哈希校验的脚本无效，仅暴露裸露的<script>块或onclick属性。</script>
方法二：Network面板手动覆盖响应头（需配合本地代理或调试服务器）
打开目标网页→F12→Network→刷新页面→点击任意JS资源请求→右侧Headers→找到Response Headers→点击Edit and Resend→在Headers编辑区新增一行：
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' 'strict-dynamic'; report-to csp-endpoint
发送后查看Console是否触发违规日志。此操作仅影响本次重发请求，不持久化。
强制启用Strict Dynamic提升防护强度
Strict Dynamic是现代CSP的核心机制，它允许通过nonce或hash白名单精准授权脚本，彻底替代不安全的'unsafe-inline'。Chrome原生支持，但需服务端配合配置。
第一步：确认服务端已生成随机nonce值并注入HTML头部
例如Nginx配置中添加：
add_header Content-Security-Policy "script-src 'self' 'strict-dynamic' 'nonce-$random_nonce'; object-src 'none'";
第二步：在HTML中为每个内联脚本添加匹配的nonce属性
<script nonce="abc123">alert('trusted');</script>
第三步：在Chrome中访问该页面→F12→Console输入document.querySelector('script[nonce]').nonce→回车，确认返回值与响应头中声明的nonce一致。若不一致，脚本将被静默阻止且无提示，【nonce值必须服务端动态生成且每次请求唯一，硬编码会导致策略失效】。
第四步：故意删除script标签中的nonce属性→刷新→观察Console是否出现“Refused to execute inline script”错误。出现即证明Strict Dynamic已生效。
