审计缺失的安全响应头

目标

安全评审指出缺少浏览器依赖的关键响应头，无法缓解嗅探与框架攻击。本配方逐 URL 扫描所需响应头，暴露覆盖不一致的问题，再用中间件在全局统一设置，使每个响应都带一致的头；同时提醒 CSP 应先以 report-only 模式上线收集违规，再以 nonce 强制执行。

步骤要点

1. 逐 URL 扫描所需安全响应头。
2. 用中间件统一设置响应头。
3. CSP 先以 report-only 上线收集违规。
4. 确认在单一层设置头，避免重复。

for url in / /login /api/health; do
  echo "== $url"
  curl -sI https://app.example.com$url | grep -iE 'strict-transport|content-security|x-content-type|x-frame|referrer'
done

排错提示

• CSP 可能破坏内联脚本，需分阶段上线。
• 代理与应用可能重复设置头。
• HSTS preload 难以撤销。

适用边界

• 响应头本身不能修复注入漏洞。
• CSP 需要持续维护。