Security Header

用途

通过 HTTP 头声明安全策略，使浏览器自动启用防护，减少代码层防御负担。

机制

关键头：Content-Security-Policy（XSS 防御）、Strict-Transport-Security（HSTS）、X-Frame-Options（点击劫持）、X-Content-Type-Options: nosniff（MIME 嗅探）、Referrer-Policy（引用信息泄露）、Permissions-Policy（API 权限）。

用例

• Web 应用安全加固
• XSS 与点击劫持防御
• HTTPS 强制
• 安全合规

示例

• 输入

  Content-Security-Policy: default-src 'self'

  输出

  Restricts resource sources

  CSP header

常见错误

Missing key security headers

Scan with securityheaders.com and fill the gaps