接口与安全
Web 安全配置工具
上线前要给引入的第三方脚本加上 SRI 校验、CSP 策略配得太严把资源也拦住了、又或者不确定该加哪些安全头，这些是配置 Web 安全时常见的顾虑。SRI 哈希生成器按文件实际字节计算 SHA-384 等摘要，生成可以直接用的 integrity 属性值；CSP 生成器编辑 CSP 指令并试算资源地址是否匹配，避免上线后才发现域名被挡住。
响应头方面，HTTP 安全头生成器组合 HSTS、Referrer-Policy 等安全响应头，生成可直接使用的配置。排查认证和会话问题时，JWT 解码解码与验证 JWT token 内容，Cookie 解析解析 Cookie 各项属性，方便确认 Secure、HttpOnly、SameSite 这些标记是否设置正确，这些工具都在浏览器本地处理数据。
5 个工具
Web 安全配置工具常见问题
SRI 的 integrity 属性值要怎么算出来？
integrity 属性是对引入的脚本或样式文件计算哈希后按格式拼出来的字符串，手动计算容易漏掉编码或格式细节。用 SRI 哈希生成器直接对文件实际字节计算 SHA-384 等摘要，生成可以直接粘贴进 script 或 link 标签的 integrity 属性值，文件一旦被篡改浏览器就会拒绝加载。
配置 CSP 之后页面上的图片或脚本加载不出来怎么办？
大概率是 CSP 指令没有覆盖到该资源实际的域名。用 CSP 生成器编辑各条指令，同时把页面用到的资源地址填进去试算是否匹配当前策略，能在真正上线前发现遗漏的域名，而不是等用户反馈页面某部分加载失败才回头排查。
Cookie 的 SameSite 属性要设置成什么才安全？
一般建议设为 Strict 或 Lax 以降低跨站请求伪造的风险，只有确实需要跨站携带 Cookie 的场景才用 None，并且此时必须同时带上 Secure。用 Cookie 解析解析现有 Cookie 的各项属性，能直接看到 SameSite 等标记当前的设置情况。