HTTP响应头分析器

本地处理

打赏支持
分享链接
反馈建议

把浏览器开发者工具、curl -I 或在线检测结果里的响应头整段粘贴进来即可，第一行的状态行可以保留也可以删除。本工具只检查头部字段是否存在，不校验取值是否合理，例如 CSP 写得太宽松依然会计为已配置。

HTTP 响应头

头部字段数

安全头命中

缺失安全头

安全评分

检查项	字段名	当前取值

逐行解析，忽略以 HTTP 开头的状态行与空行，每行按第一个冒号切分为字段名与取值，字段名统一转为小写比较。共检查 8 项安全头：Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy、Cross-Origin-Opener-Policy、X-XSS-Protection。安全评分等于命中项数除以 8 再乘 100 后四舍五入。等级划分：75 分及以上为良好，50 分及以上为一般，其余为偏弱。

响应头为什么值得检查

很多前端层面的安全防护其实完全可以由服务端一条响应头搞定，成本极低而收益明显。反过来，默认配置的服务器往往会顺带泄露框架与版本信息，给扫描器提供便利。响应头是服务器安全配置中最容易漏掉、也最容易补救的一环。

八项安全头各自防什么

Strict-Transport-Security：告诉浏览器在指定时间内只用 HTTPS 访问本站，从根本上阻断 SSL 剥离攻击。建议 max-age 至少 31536000 秒。
Content-Security-Policy：限定页面可以加载哪些来源的脚本、样式与图片，是抵御跨站脚本注入最有效的手段。
X-Content-Type-Options：取值为 nosniff，禁止浏览器猜测文件类型，防止把上传的图片当成脚本执行。
X-Frame-Options：阻止页面被其他站点用框架嵌入，防点击劫持。
Referrer-Policy：控制跳转时携带多少来源信息，避免把含敏感参数的完整地址泄露给第三方。
Permissions-Policy：按需关闭摄像头、麦克风、地理位置等浏览器特性。
Cross-Origin-Opener-Policy：隔离跨源窗口引用，是启用共享内存等高性能特性的前提。
X-XSS-Protection：老旧的过滤器，现代浏览器已移除，仅作兼容保留，防护应以 CSP 为准。

缓存头怎么看

静态资源靠 Cache-Control 加 ETag 或 Last-Modified 实现强缓存与协商缓存。若动态接口也返回长缓存，就会出现改完代码用户却看到旧页面的情况，排查问题时优先确认这一点。

常见问题

安全评分低就一定要改吗

不一定。静态展示站与含登录态的站风险不同，评分只是齐备程度的粗略度量。建议优先补齐 HSTS、X-Content-Type-Options 与 X-Frame-Options 这三项，改动成本低且几乎不会影响现有功能。

为什么线上检测结果和这里不一致

CDN 或反向代理可能改写响应头。请以最终回给浏览器的响应为准，即直接在浏览器开发者工具的响应标头里复制。

你可能还想问

常见的响应头看哪些？

缓存控制、内容类型与编码、跨域策略、安全类响应头；它们直接决定浏览器如何缓存、渲染与限制资源。

缓存头配置不当会怎样？

过短导致重复请求、拖慢加载；过长导致更新后用户仍看到旧内容；静态资源用长缓存配合文件名指纹是常见正解。

安全头缺失有什么风险？

缺少点击劫持防护、内容嗅探限制等会增加被利用的可能；这些头配置成本低，建议新站上线时就一并加上。