把指南转化为安全试用流程
使用真实资料前，请先在CSP 源表达式测试器中用合成数据试做《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》的步骤。勾选状态只保留在当前标签页。
定义决策与成功标准
选择工具前先写明要作出的决策、责任人以及错误结果的影响。本指南的实际目标是：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。“生成了输出”并非成功标准；应为准确性、完整性、可逆性、时间与人工批准设定可衡量阈值。从一开始就公开假设，可减少事后合理化与自动化偏见。
先用一句话写明要作出的决定，并在输入数据前定义成功标准、负责人以及不得自动化的最终批准。 针对《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》，请把该记录关联到 csp-kaynak-ifadesi-tester 步骤与这一具体目标：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
- 验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
准备输入契约与使用权
仅使用合成数据、自有数据或重用权明确的材料。以只读方式保留原始输入，并在独立字典中记录字段名、类型、单位、语言、日期、编码、缺失值与重复规则。这些工具不是完整 CSP 匹配器、证书链验证器、JWT 签名验证器或浏览器集成测试。尽量减少敏感数据，共享示例不得使用代表真实个人的值。
在输入字典中分别记录字段、类型、单位、语言、时区、缺失值规则与敏感等级。 针对《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》，请把该记录关联到 sri-degeri-dogrulayici 步骤与这一具体目标：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
- 在 sri-degeri-dogrulayici 步骤中，围绕《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》目标记录输入、输出与决策责任人。
以小而可逆的步骤执行工作流
把工作流拆为可观察关卡：输入验证、转换、结构检查、前后比较与导出。为 csp-kaynak-ifadesi-tester、sri-degeri-dogrulayici、jwt-claim-politikasi-denetleyici、html-guvenli-atribut-denetleyici 明确记录预期输入、输出、失败消息与停止条件。先用单条记录测试，小批量数据核对成功前不要扩展规模。
为每一步定义预期输出结构，以及允许传递到下一工具的最小数据集合。 针对《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》，请把该记录关联到 jwt-claim-politikasi-denetleyici 步骤与这一具体目标：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
- 在 jwt-claim-politikasi-denetleyici 步骤中，围绕《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》目标记录输入、输出与决策责任人。
主动测试失败与边界案例
除正常路径外，还要测试空输入、错误编码、异常 Unicode、超长值、缺失必填字段、重复键、负数、除零、错误时区与故意冲突。错误消息应指出无效字段、失败原因与纠正动作；不要静默修复，应在结果旁显示改变的值与所用假设。针对《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》，测试集应围绕这一具体结果设计：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
除正常路径外，把空值、格式错误、超大、矛盾与恶意输入保存为命名测试案例。 针对《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》，请把该记录关联到 html-guvenli-atribut-denetleyici 步骤与这一具体目标：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
- 在 html-guvenli-atribut-denetleyici 步骤中，围绕《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》目标记录输入、输出与决策责任人。
将输出与来源核对
核对来源与输出的行数、字段、总计、缺失值、唯一键与校验值。可逆转换应执行往返测试；不可逆时应发布数据丢失清单。人工抽查随机记录，并把重要主张追溯到第一手来源。视觉整齐的表格不能证明结构或事实正确。本指南的核对还必须遵守这一边界：这些工具不是完整 CSP 匹配器、证书链验证器、JWT 签名验证器或浏览器集成测试。
在来源与结果之间核对行数、总计、缺失值、唯一键与变更字段。 针对《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》，请把该记录关联到 csp-kaynak-ifadesi-tester 步骤与这一具体目标：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
- 在 csp-kaynak-ifadesi-tester 步骤中，围绕《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》目标记录输入、输出与决策责任人。
记录证据、边界与下次复核
最终记录应包含日期、工具与数据版本、验收阈值、已知边界、失败案例、输出摘要、人工批准与下次复核日期。这些工具不是完整 CSP 匹配器、证书链验证器、JWT 签名验证器或浏览器集成测试。涉及法律、安全、健康或财务影响时，应把合格专家依据最新一手来源的复核设为强制关卡，绝不能把工具结果表述为最终验证。
在交付记录中加入日期、版本、假设、失败路径、已知边界、人工批准与下次复核日期。 针对《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》，请把该记录关联到 sri-degeri-dogrulayici 步骤与这一具体目标：验证外部脚本 SRI、用真实 URL 预检 CSP source-list，并明确区分 JWT payload 检查与签名验证。
- 这些工具不是完整 CSP 匹配器、证书链验证器、JWT 签名验证器或浏览器集成测试。
把指南转化为可重复的检查流程
请使用这套包含 4 个工具的检查计划来落实《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》。目标：以独立信任边界检查源策略、资源完整性、声明契约与高风险 HTML 属性。 包含详细步骤、负面测试、核验标准与信任边界。 请先用安全示例代替真实数据，并记录每一步的预期结果与验收决定。
CSP 源表达式测试器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 在设备端运行并检查错误、警告与指标。
- 验收检查
- 在目标环境和边界案例中验证输出。
- 预期输出
- CSP 源表达式测试器完成后会提供规范化的 Web 配置、组件清单和可执行的复核提示，并围绕“检查 URL 是否匹配简单 source-list 并识别高风险通配符”组织结果。. 检查 URL 是否匹配简单 source-list 并识别高风险通配符。
SRI 值验证器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 在设备端运行并检查错误、警告与指标。
- 验收检查
- 在目标环境和边界案例中验证输出。
- 预期输出
- SRI 值验证器完成后会提供证据位置、严重程度、误报可能性和下一步核验操作，并围绕“在设备端比较文本 SHA-256 与 integrity 值”组织结果。. 在设备端比较文本 SHA-256 与 integrity 值。
JWT 声明策略检查器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 在设备端运行并检查错误、警告与指标。
- 验收检查
- 在目标环境和边界案例中验证输出。
- 预期输出
- JWT 声明策略检查器完成后会提供证据位置、严重程度、误报可能性和下一步核验操作，并围绕“在不验证签名的情况下检查 exp、nbf、aud、iss 与必需声明”组织结果。. 在不验证签名的情况下检查 exp、nbf、aud、iss 与必需声明。
HTML 安全属性检查器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 在设备端运行并检查错误、警告与指标。
- 验收检查
- 在目标环境和边界案例中验证输出。
- 预期输出
- HTML 安全属性检查器完成后会提供规范化的 Web 配置、组件清单和可执行的复核提示，并围绕“静态查找内联事件、javascript URL 与高风险 target 组合”组织结果。. 静态查找内联事件、javascript URL 与高风险 target 组合。
CSP 源表达式测试器适用以下边界：CSP 源表达式测试器的使用边界：代码不会执行；未发现问题并不能证明不存在漏洞。 如果未满足该条件，请勿把输出传递到工作流的下一步。
落实《CSP、SRI、JWT 与 HTML 的浏览器安全预检查》时，请记录工具名称、所选设置、浏览器版本，以及“发布前可审计质量检查”的接受或拒绝理由，而不是敏感内容。这样既能重复检查，也不会复制真实数据。