AZ Tools

CSP 哈希生成器

网络

粘贴内联脚本或样式的精确内容(不含 <script> 标签,无前后空白差异),工具会对其 UTF-8 字节计算 SHA-2 摘要,进行 base64 编码,并输出 CSP 接受为白名单条目的 'sha256-…' 形式令牌。浏览器在解析时以相同方式哈希,因此任何字节不一致 —— 包括行尾 —— 都将匹配失败,块无法执行。当你确实需要一段极小的内联代码时,用它替代 'unsafe-inline'。

算法
目标指令

粘贴要哈希的内容。

浏览器按内联元素的精确字节进行哈希。空白、缩进与行尾都会影响。

使用方法

  1. 粘贴脚本主体(<script> 与 </script> 之间的全部内容)或样式主体。
  2. 选择算法(几乎所有场景 sha256 足够;如政策要求可用 384/512)。
  3. 把结果 'sha256-…' 令牌复制到对应的 -src 指令中。

常见问题

空白和换行重要吗?
重要 —— 浏览器哈希的是元素的字面字节。末尾换行或不同缩进会令哈希失效。粘贴标签间的精确内容即可。
应该总是用 sha512 吗?
不必。sha256 是事实上的基线;只有政策或审计要求时才需要 sha384/sha512。更长的摘要在此并不增加真正的安全性 —— 威胁模型假定内联内容是作者本人写的。

相关工具