祈灵工具箱🦺HTTP 安全头检测 - CSP、HSTS、Cookie 评级与 CSP 生成器
网站的安全响应头配得对不对，粘贴一下就知道。在终端运行 curl -sI https://你的域名，或在浏览器开发者工具的网络面板里复制主文档的响应头，粘贴进来，工具会给出 A+ 到 F 的评级和逐项检查：HSTS 的有效期、includeSubDomains 和预加载条件；CSP 的每条指令，标出 'unsafe-inline'、'unsafe-eval'、* / https: 之类过宽的来源、缺少单引号的关键字、缺失的 object-src / base-uri / frame-ancestors，以及只有 Report-Only 不生效的情况；X-Content-Type-Options、X-Frame-Options 与 frame-ancestors 的优先级、Referrer-Policy、Permissions-Policy 语法与敏感功能、COOP / COEP / CORP 跨源隔离；每个 Set-Cookie 的 Secure、HttpOnly、SameSite 与 __Host- / __Secure- 前缀规则；CORS 通配与凭据的危险组合；Server、X-Powered-By 暴露的版本号；登录页的缓存设置；以及 X-XSS-Protection、HPKP、Expect-CT 等过时的头。每个问题都附原因说明和可直接复制的修复写法。另有 CSP 生成器：从严格（nonce + strict-dynamic）或同源模板开始，逐条编辑指令与来源，生成随机 nonce，计算内联脚本 / 样式的 SHA-256/384/512 哈希，输出 HTTP 头、meta 标签以及 nginx、Apache、Caddy 配置片段，并实时检查策略问题。工具不发送任何网络请求，所有分析都在本地完成。
免费 · 无需注册 · 浏览器本地处理最后更新：
如何使用HTTP 安全响应头检测
- 1用 curl -sI 或开发者工具复制响应头，粘贴到输入框
- 2查看评级和逐项检查结果，按修复建议调整服务器配置
- 3切换到 CSP 生成器编辑策略，复制 HTTP 头、meta 标签或 nginx / Apache / Caddy 配置
常见问题
- 为什么不能直接输入网址检测？
- 浏览器出于同源策略无法读取其它网站的完整响应头，要直接请求就必须经过第三方服务器代理。本工具坚持纯本地处理，所以需要你自己用 curl -sI 或开发者工具获取响应头再粘贴——这样也能检测内网、测试环境或需要登录的页面。
- 评分是怎么算的？
- 从 100 分开始，缺少关键安全头（HSTS、CSP、X-Content-Type-Options、防点击劫持、Referrer-Policy、Permissions-Policy）或存在高风险配置（如 'unsafe-inline' 脚本、CORS 通配加凭据）时扣分，85 分以上为 A；A+ 要求 6 个关键头齐全、没有严重问题且分数不低于 95。评分只是参考，实际风险取决于网站的业务和威胁模型。
- CSP 里的 nonce 应该怎么用？
- nonce 必须由服务器在每次响应时随机生成（至少 128 位），同时写进 CSP 头的 'nonce-…' 和页面中每个 <script nonce="…"> 标签。配合 'strict-dynamic'，由这些可信脚本动态加载的脚本也会被允许，不必维护域名白名单。生成器里的随机 nonce 仅供示例，不能写死在配置里。
- meta 标签方式的 CSP 有什么限制？
- <meta http-equiv="Content-Security-Policy"> 不支持 frame-ancestors、report-uri、report-to 和 sandbox，也不能设置 Report-Only 模式，而且只对它之后出现的内容生效。生成器会自动去掉这些指令并提示；条件允许时优先使用 HTTP 响应头。