商家增加聊天、地图或分析组件前，应先知道组件真正需要哪些资源，再考虑权限范围。可委托盘点及隔离的report-only试验，评估时保留当前强制策略。
官方依据及事实范围
MDN说明Content-Security-Policy-Report-Only观察候选策略但不强制执行，且必须通过HTTP响应头设置，不能靠meta。 原始参考 · 2026年10月17日读取.
已填写的验收例子
合成教学情景，不是真实客户、平台实测或业务结果。窄屏可横向滚动案例表。
| 合成观察 | 解释 | 复核动作 |
|---|---|---|
| 聊天测试域出现script-src报告 | 候选脚本来源未列入 | 确认供应商及负责人，不能放开全部HTTPS |
| 分析测试域出现connect-src报告 | 连接目标与脚本域不同 | 复核数据用途及准确目标 |
| 组件能用，但有report-only违规 | 候选策略并未强制执行 | 界面能用不证明强制策略兼容 |
| 没有收到报告 | 收集器或覆盖未知 | 先核对上报端点和浏览器支持 |
按步骤执行的交付程序
- 在获准隔离副本盘点脚本、框架、图像及连接，记录每个来源的功能归属及是否传输个人资料。
- 安全人员确定候选响应头及报告接收端，限制访问并脱敏；不能把强制策略换成report-only来让组件运行。
- 在支持的浏览器演练正常流程及资源阻塞，把报告与真实功能对照；生产策略变更另行批准。
怎样解释结果
盘点能区分脚本来源缺失与连接目标缺失。供应商应交付范围准确的候选策略及未明依赖，不能承诺“零报告就是安全”。report-only是取证阶段，报告收集本身也可能失败。
明确的验收终点
试验回执须列原强制策略、候选策略、已测流程、收集端及未解决违规；页面能打开不够。
适用范围及未验证项目
仅为合成观察；没有修改MadRaven或其他生产站的CSP及安全设置。报告可能含敏感网址，真实收集须遵循负责人批准的数据控制。
下载已填写的双语验收记录 — 包含本页输入、步骤、预期及边界；是教学资料，不是执行程序。