Content-Security-Policy-Report-Only是HTTP标头之一，用于指定浏览器应该为网站的内容加载执行什么样的安全策略。与普通Content-Security-Policy不同的是，它只会收集并发送违规报告，而不会防止恶意行为。

使用Content-Security-Policy-Report-Only可以帮助网站管理员了解他们网站上存在的潜在安全问题，并为没有明确实施Content-Security-Policy的站点提供有用的信息。

以下是一个示例HTTP响应头，其中包含Content-Security-Policy-Report-Only：


Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp_report


这个策略表示允许从相同的域名加载默认资源（如HTML，JS和CSS），但会将任何违规报告发送到/csp_report端点。一旦管理员确定策略配置正确，他们可以将CSP的模式从"Report-Only"更改为正常模式以实现防护。