HTTP 安全相关响应头速查表

## 为什么需要 浏览器安全边界很大程度上依赖响应头；错误配置会导致 XSS、点击劫持、明文 Cookie 等问题放大。 ## 常用头 | 头 | 作用 | 常见建议 | |---|---|---| | Content-Security-Policy | 限制脚本来源与内联执行 | 先 Report-Only，再收紧 | | Strict-Transport-Security | 强制 HTTPS | 含 `includeSubDomains` 需谨慎 | | X-Content-Type-Options | 禁止 MIME 嗅探 | `nosniff` | | X-Frame-Options / frame-ancestors | 防点击劫持 | `DENY` 或白名单域 | | Referrer-Policy | 控制 Referer 泄漏 | `strict-origin-when-cross-origin` | | Permissions-Policy | 限制浏览器能力 | 按业务关闭摄像头等 | ## Cookie 属性 - `HttpOnly`：降低 XSS 偷会话风险 - `Secure`：仅 HTTPS 发送 - `SameSite=Lax/Strict`：缓解 CSRF ## 自检步骤 1. 用浏览器开发者工具查看关键页面响应头。 2. 对照业务是否需要第三方脚本/内联样式。 3. 变更后回归登录、支付、嵌入页等流程。