安全头清单
| 头 | 示意值 | 防御目标 |
|---|---|---|
| Strict-Transport-Security | max-age=31536000; includeSubDomains | SSL 剥离降级 |
| Content-Security-Policy | default-src 'self' … | XSS/注入 |
| X-Content-Type-Options | nosniff | MIME 嗅探 |
| X-Frame-Options / frame-ancestors | SAMEORIGIN / 'self' | 点击劫持 |
| Referrer-Policy | strict-origin-when-cross-origin | 信息泄漏 |
| Permissions-Policy | camera=(), microphone=() | 设备能力滥用 |
Nginx 统一添加（注意 add_header 继承规则）
Nginx 统一添加（注意 add_header 继承规则）
add_header Strict-Transport-Security "max-age=31536000" always;
add_header X-Content-Type-Options nosniff always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
# 提示：location 中再写 add_header 会覆盖 http/server 层级的全部 add_header，需重复声明或用 include 片段用 curl -sI 或浏览器安全评分工具（如 securityheaders.com、Mozilla Observatory）定期体检；新上线域名先用报告模式观察 CSP。