HTTP 安全响应头在线评分工具
粘贴 curl -I 的输出，逐项核对关键安全头并给出配置写法。
🛡️ 安全响应头评分
📌 六个关键头的作用
| 响应头 | 作用 | 推荐值 |
|---|---|---|
| Strict-Transport-Security | 要求浏览器后续只走 HTTPS | max-age=31536000; includeSubDomains |
| Content-Security-Policy | 限制脚本、样式、框架的加载来源 | 按业务收紧，从 default-src 'self' 起步 |
| X-Content-Type-Options | 禁止浏览器猜测内容类型 | nosniff |
| X-Frame-Options | 控制页面能否被嵌入框架 | SAMEORIGIN 或 DENY |
| Referrer-Policy | 控制跳转时携带多少来源信息 | strict-origin-when-cross-origin |
| Permissions-Policy | 限制摄像头、定位等浏览器能力 | 按需声明，如 geolocation=() |
X-XSS-Protection 已被主流浏览器废弃，新项目不建议再配置，设为 0 反而更稳妥。安全头只是纵深防御的一层，不能替代输入校验与输出编码。