CSP 头构建器

按各指令来源构建 Content-Security-Policy 头，跳过空指令并拒绝裸通配符。