了解 HTTP 安全标头

HTTP 安全标头是 Web 服务器发送的指令，用于告知浏览器如何处理网站内容。它们构成了抵御常见 Web 攻击的关键防御层。Strict-Transport-Security（HSTS）强制使用 HTTPS 连接，Content-Security-Policy（CSP）防止脚本注入，X-Frame-Options 阻止点击劫持，X-Content-Type-Options 阻止 MIME 类型嗅探攻击。

缺少安全标头会使网站容易受到已知攻击模式的威胁。没有 HSTS，用户可能被降级到 HTTP 并遭到拦截。没有 CSP，注入的脚本可能窃取用户数据。没有 X-Frame-Options，攻击者可以将您的网站嵌入不可见的 iframe 中，诱骗用户点击隐藏按钮。

如何提升您的安全评级

在您的 Web 服务器（Nginx、Apache、Caddy）或 CDN（Cloudflare、AWS CloudFront）中配置安全标头。从影响最大的标头开始：设置较长 max-age 的 HSTS、严格的 CSP、设置为 DENY 的 X-Frame-Options，以及设置为 nosniff 的 X-Content-Type-Options。大多数标头只需添加一行配置即可生效。