结果
待操作查看 HSTS、CSP、点击劫持和权限策略建议。
安全响应头检查
粘贴网页 HTTP 响应头，核对 HSTS、CSP、X-Frame-Options、Referrer-Policy 等安全策略，查看缺失项与配置建议，方便完善浏览器安全防护。
查询规则与适用范围
请先核对输入、结果字段和限制说明，再将结论用于发布、排查或记录。不同工具的协议依据与适用边界见下方内容。
检查范围
本页核对常见浏览器侧安全响应头：HSTS、CSP、点击劫持防护、MIME 嗅探限制、来源引用策略和权限策略。它不替代漏洞扫描，也不判断业务代码是否安全。
发布建议
安全头应先在测试环境验证，再逐步上线。CSP 可从 Report-Only 观察资源来源，确认无误后再启用强制策略。
资料来源 HTTP Headers · MDNCSP · MDN
整理：喜爱工具箱 · 更新：
使用说明
三步完成操作
- 01 · 填写网址
记录响应头所属页面。
- 02 · 粘贴响应头
输入 HTTP 响应头，每行一个字段。
- 03 · 查看建议
核对常见浏览器安全策略是否覆盖。
常见问题
使用前先了解这些
CSP 越严格越好吗？
CSP 应先覆盖真实资源来源，过严会影响页面加载；过宽则降低隔离效果。
HSTS 只能用于 HTTPS 吗？
是。HSTS 只对 HTTPS 站点有意义，并应谨慎评估 includeSubDomains 与 preload。
X-Frame-Options 和 frame-ancestors 谁优先？
现代浏览器优先使用 CSP frame-ancestors；旧环境仍可能依赖 X-Frame-Options。