x402协议新增两大AI Agent付费端点：SVCB解析与CSP回放

在AI Agent需要直接调用网络服务获取数据的趋势下，x402协议正逐渐成为机器支付的重要基础设施。最新一轮更新中，URL元数据服务新增了两个付费端点：SVCB记录深度解析与CSP违规报告端到端回放，单次调用定价均为0.0005美元。这标志着面向AI Agent的微支付API生态进一步细化。

端点一：SVCB记录深度解析

新上线的 /api/svcb-record-parse 端点专注于DNS层的SVCB（服务绑定）与HTTPSSVC记录解析，遵循RFC 9460与RFC 9461标准。它会查询11个常规的 _<port>._<proto>.<domain> 端点，通过Cloudflare DoH的type=64和type=65记录类型获取数据。

解析器覆盖了RFC 9460 §6定义的全部标准SvcParamKey值，包括alpn、port、ipv4hint、ipv6hint、ech（加密客户端问候）、dohpath、ohttp、mandatory等。返回结果中包含一个0-100分的 svcb_score 评级（A-F），综合评估ECH支持、HTTP/3能力、ALPN广度以及mandatory键的配置情况。

该端点与已有的TLS层ECH探测端点形成互补——后者直接从TLS扩展读取ECHConfig，而新端点则从DNS层解析SVCB记录，两者覆盖了不同的技术栈层次。

SVCB（Service Binding）记录是DNS中一种相对较新的资源记录类型，定义于RFC 9460，用于将域名与服务的连接参数（如支持的协议、端口、IP提示、加密方式等）绑定在一起，使客户端在建立连接前就能获知服务端的能力。HTTPSSVC（type 65）是SVCB的专用变体，专门用于HTTPS服务，允许域名在DNS层声明支持HTTP/3、ECH等特性，从而减少连接建立的往返次数。与传统的A/AAAA记录只提供IP地址不同，SVCB/HTTPS记录携带的是"如何连接"的元数据，是现代Web协议栈优化的重要一环。

DoH（DNS over HTTPS）是将DNS查询封装在HTTPS请求中传输的协议，用于提升DNS查询的隐私性和抗干扰能力。Cloudflare DoH提供了标准的JSON和wireformat接口，支持通过type参数查询任意记录类型，其中type=64对应SVCB、type=65对应HTTPS。开发者无需自建DNS解析器，即可通过HTTP接口获取这些记录。

ECH（Encrypted Client Hello）是TLS 1.3的扩展机制，用于加密ClientHello中的SNI（服务器名称指示）字段，防止网络中间人窥探用户访问的具体域名。ECHConfig是服务器通过DNS HTTPS记录或TLS扩展下发的配置数据，客户端据此加密握手。SVCB记录中的ech参数正是承载ECHConfig的字段，因此从DNS层解析SVCB记录可以判断一个域名是否部署了ECH。

ALPN（Application-Layer Protocol Negotiation）是TLS扩展，用于在握手阶段协商应用层协议（如h2、http/1.1）。在SVCB记录中，alpn参数声明了服务端支持的协议列表，客户端可据此选择最优协议。SVCB中的port参数可指定非默认端口，ipv4hint/ipv6hint提供IP地址提示以减少额外DNS查询，dohpath用于声明DoH服务的路径，ohttp指向Oblivious HTTP中继配置，mandatory则列出客户端必须理解的关键参数键，否则应忽略整条记录。这些参数共同构成了服务端能力的声明式描述。

端点二：CSP违规报告回放

/api/csp-violation-replay 端点解决的是另一个实际问题：CSP（内容安全策略）违规报告端点的可达性与接受度验证。它会抓取目标页面，提取CSP头、meta CSP、Reporting-Endpoints头以及report-uri/report-to配置，然后对每个声明的端点回放四种违规场景。

四种场景分别是script_violation、style_violation、connect_violation和img_violation。每次POST都携带真实的 application/csp-report 载荷，包含blockedURL、disposition、effectiveDirective等字段。每个探测的结果会被分类记录，如accepted、queued、auth_required、rejected_bad_request、endpoint_missing、rate_limited或fetch_error。

最终返回的 csp_replay_score 由四部分构成：可达比例（30分）、接受比例（30分）、同时配置传统与Reporting API（20分）、每个场景接受率不低于50%（20分）。与已有的单次端点接受检查端点相比，这个新端点实现了真正的端到端往返验证。

CSP（Content Security Policy，内容安全策略）是一种通过HTTP响应头或meta标签声明的安全机制，用于限制页面可以加载哪些资源（脚本、样式、图片、连接等），从而缓解XSS等注入攻击。当页面行为违反策略时，浏览器会向开发者声明的报告端点发送违规报告。报告机制有两种：传统方式是CSP头中的report-uri指令，发送application/csp-report格式的JSON；新标准是Reporting API，通过Reporting-Endpoints头声明端点，并使用report-to指令，报告格式为application/reports+json。两种机制在载荷结构和端点声明方式上均有差异，许多站点会同时配置以兼容不同浏览器。

CSP违规报告端点本身也是攻击面：如果端点不可达、拒绝请求或缺乏认证，安全监控就会失效。因此验证报告端点的可达性和接受度对于安全运维至关重要。回放探测通过构造真实的违规载荷并POST到端点，模拟浏览器行为，能够发现配置错误、认证要求过高、速率限制过严等问题。

微支付生态的持续扩张

该服务的付费端点目录现已达到244个，全部通过pay.openfacilitator.io在Base主网上结算，使用USDC（eip155:8453）。调用方式遵循x402协议——未携带签名X-PAYMENT头的请求将返回402状态码。

对于需要查询DNS SVCB记录或执行跨指令CSP回放探测的AI Agent来说，这两个端点的价值在于省去了DoH管道搭建和报告格式编写的工程成本。服务的发现文档位于 /.well-known/x402 路径，Agent可据此自动发现可用端点。

从更宏观的视角看，这类高度专业化的付费端点反映了AI Agent经济的一个关键特征：Agent愿意为节省工程复杂度的原子化服务付费，而微支付协议使得单次几分钱的交易在经济上可行。244个端点的规模也说明，这种模式正在吸引持续的服务供给。

x402协议是一种基于HTTP 402状态码的机器支付协议，由Coinbase提出，旨在让AI Agent和自动化程序能够以极低摩擦完成按次付费的API调用。其核心流程是：客户端首次请求未携带支付凭证时，服务端返回402及支付要求（价格、币种、链、收款地址）；客户端构造并签名支付载荷，放入X-PAYMENT请求头重试；服务端验证后提供服务。x402支持链上稳定币结算，使得单次0.0005美元级别的微交易在经济上可行，避免了传统支付渠道的手续费门槛。Base是Coinbase构建的以太坊Layer 2网络，以低交易成本著称，USDC是其上广泛使用的美元稳定币，eip155:8453即Base主网的CAIP-2链标识。