什么是 HTTP 安全标头？

简要回答

HTTP 安全响应头是响应中的指令，帮助浏览器在加载网站时采用更安全的默认行为。

操作步骤

1. 在响应头检查器中输入公开 URL。
2. 结合上下文检查 HSTS、内容类型、来源、权限和 CSP 信号。
3. 确认策略与网站实际需要的资源相符。
4. 大范围应用前，先在预发布环境测试修改。

技术细节

• CSP 可以降低脚本注入风险；HSTS 需要谨慎部署；X-Content-Type-Options 可在支持的浏览器中阻止 MIME 嗅探。

常见错误

• 未经测试就复制严格的 CSP。
• 把响应头当作输入验证的替代品。
• 用安全响应头掩盖损坏的应用。

使用限制

• 响应头检查只是观察响应，不能证明整个应用安全。