用途：审查生产网站或部署前的 CSP 头，审计同一域名多页面，排查 XSS 绕过可能，或为新应用生成推荐 CSP。
主要能力：自动识别输入类型（原始 CSP、URL、域名、文件路径）；按 CSP Level 3 校验指令与来源值语法；检测不安全模式、已知绕过源与缺失指令；按扣分制给出 A-F 强度评分；生成含迁移步骤的推荐策略。
使用方式：目标通过 $ARGUMENTS 传入。URL 用 curl -sI -L "$URL" | grep -i "content-security-policy" 获取；域名先取首页头，再经 sitemap 或首页链接抓取最多 20 个页面；文件路径则读取内容提取 CSP。随后解析指令、执行反模式检测（CSP-01 至 CSP-12）、缺失指令检查（CSP-20 至 CSP-29）、最佳实践评估与等级分类，最后输出 Markdown 报告。
报告要求：每条发现须含 CVSS 3.1 与 4.0 完整向量、危险原因、具体利用载荷与修复语法，并附推荐 CSP 与页面对比表。
限制：仅覆盖资料所述检测项；未提供实际执行环境、依赖版本或自动化集成方式。Meta 标签 CSP 不支持 frame-ancestors、report-uri、sandbox；Report-Only 不强制执行；多 CSP 头由浏览器取交集。