| HSTS | 强制后续 HTTPS 访问，详见 HSTS 条目 |
|---|---|
| X-Content-Type-Options | nosniff，禁止浏览器猜测内容类型 |
| Referrer-Policy | 如 strict-origin-when-cross-origin，控制跨站 Referer 泄漏 |
| X-Frame-Options | DENY/SAMEORIGIN 防点击劫持；新项目可改用 CSP frame-ancestors |
| Permissions-Policy | 按需关闭摄像头、麦克风、地理位置等浏览器能力 |
nginx 追加响应头
nginx 追加响应头
add_header X-Content-Type-Options nosniff always;
add_header Referrer-Policy strict-origin-when-cross-origin always;
add_header X-Frame-Options SAMEORIGIN always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;响应头属于纵深防御的一层，需要与业务功能联动评估：例如要被他站 iframe 嵌入的页面必须放宽 X-Frame-Options。