# HTTP 安全头检测 - CSP、HSTS、Cookie 评级与 CSP 生成器

> 免费在线检查 HTTP 响应头安全性：粘贴 curl -I 输出即可评级 A+～F，逐项分析 HSTS、CSP、X-Frame-Options、Cookie、CORS 等并给出修复建议；附 CSP 生成器。

- 网址: https://qilingtools.com/zh/security-headers
- 分类: 开发工具 (https://qilingtools.com/zh/dev)
- 标签: [隐私安全](https://qilingtools.com/zh/tags/privacy), [开发](https://qilingtools.com/zh/tags/dev), [网络 HTTP](https://qilingtools.com/zh/tags/network)
- 最后更新: 2026-10-26
- 价格: 免费，无需注册
- 隐私: 在浏览器本地处理，文件不上传服务器

网站的安全响应头配得对不对，粘贴一下就知道。在终端运行 curl -sI https://你的域名，或在浏览器开发者工具的网络面板里复制主文档的响应头，粘贴进来，工具会给出 A+ 到 F 的评级和逐项检查：HSTS 的有效期、includeSubDomains 和预加载条件；CSP 的每条指令，标出 'unsafe-inline'、'unsafe-eval'、* / https: 之类过宽的来源、缺少单引号的关键字、缺失的 object-src / base-uri / frame-ancestors，以及只有 Report-Only 不生效的情况；X-Content-Type-Options、X-Frame-Options 与 frame-ancestors 的优先级、Referrer-Policy、Permissions-Policy 语法与敏感功能、COOP / COEP / CORP 跨源隔离；每个 Set-Cookie 的 Secure、HttpOnly、SameSite 与 __Host- / __Secure- 前缀规则；CORS 通配与凭据的危险组合；Server、X-Powered-By 暴露的版本号；登录页的缓存设置；以及 X-XSS-Protection、HPKP、Expect-CT 等过时的头。每个问题都附原因说明和可直接复制的修复写法。另有 CSP 生成器：从严格（nonce + strict-dynamic）或同源模板开始，逐条编辑指令与来源，生成随机 nonce，计算内联脚本 / 样式的 SHA-256/384/512 哈希，输出 HTTP 头、meta 标签以及 nginx、Apache、Caddy 配置片段，并实时检查策略问题。工具不发送任何网络请求，所有分析都在本地完成。

## 使用步骤

1. 用 curl -sI 或开发者工具复制响应头，粘贴到输入框
2. 查看评级和逐项检查结果，按修复建议调整服务器配置
3. 切换到 CSP 生成器编辑策略，复制 HTTP 头、meta 标签或 nginx / Apache / Caddy 配置

## 功能特点

- A+～F 评级与扣分明细
- HSTS 有效期与预加载条件检查
- CSP 逐条解析：unsafe-inline / eval、通配来源、缺失指令
- Cookie 的 Secure、HttpOnly、SameSite 与 __Host- 前缀检查
- CORS、Permissions-Policy、COOP / COEP / CORP 分析
- 版本号泄露与过时安全头提示
- CSP 生成器：nonce、内联脚本哈希、关键字快捷切换
- 输出 HTTP 头、meta 标签与 nginx / Apache / Caddy 片段

## 常见问题

### 为什么不能直接输入网址检测？

浏览器出于同源策略无法读取其它网站的完整响应头，要直接请求就必须经过第三方服务器代理。本工具坚持纯本地处理，所以需要你自己用 curl -sI 或开发者工具获取响应头再粘贴——这样也能检测内网、测试环境或需要登录的页面。

### 评分是怎么算的？

从 100 分开始，缺少关键安全头（HSTS、CSP、X-Content-Type-Options、防点击劫持、Referrer-Policy、Permissions-Policy）或存在高风险配置（如 'unsafe-inline' 脚本、CORS 通配加凭据）时扣分，85 分以上为 A；A+ 要求 6 个关键头齐全、没有严重问题且分数不低于 95。评分只是参考，实际风险取决于网站的业务和威胁模型。

### CSP 里的 nonce 应该怎么用？

nonce 必须由服务器在每次响应时随机生成（至少 128 位），同时写进 CSP 头的 'nonce-…' 和页面中每个 <script nonce="…"> 标签。配合 'strict-dynamic'，由这些可信脚本动态加载的脚本也会被允许，不必维护域名白名单。生成器里的随机 nonce 仅供示例，不能写死在配置里。

### meta 标签方式的 CSP 有什么限制？

<meta http-equiv="Content-Security-Policy"> 不支持 frame-ancestors、report-uri、report-to 和 sandbox，也不能设置 Report-Only 模式，而且只对它之后出现的内容生效。生成器会自动去掉这些指令并提示；条件允许时优先使用 HTTP 响应头。

## 相关工具

- [JSON 格式化](https://qilingtools.com/zh/json): 免费在线 JSON 格式化：一键美化、压缩，实时语法校验并定位到出错行列，支持树形视图折叠、键名排序、转义与去转义、Unicode 转中文、复制下载，数据不上传。
- [Base64 编解码](https://qilingtools.com/zh/base64): 免费在线 Base64 编码解码工具：支持中文 UTF-8、URL 安全变体，文本与 Base64 互转，实时转换，本地处理不上传。
- [URL 编解码](https://qilingtools.com/zh/url-encode): 免费在线 URL 编码解码工具：encodeURIComponent 与 encodeURI 两种模式，处理中文、空格与特殊符号，本地实时转换不上传。
- [JWT 解析](https://qilingtools.com/zh/jwt): 免费在线 JWT 解析工具：解码 JWT 的 Header 与 Payload，展示过期时间、签发时间等，本地解析不上传，保护令牌安全。
- [时间戳转换](https://qilingtools.com/zh/timestamp): 免费在线 Unix 时间戳转换工具：时间戳与日期互转，自动识别秒/毫秒，显示本地时间、UTC、ISO 8601 和相对时间，实时更新。
- [哈希计算](https://qilingtools.com/zh/hash): 免费在线哈希/摘要计算工具：对文本或文件计算 SHA-1、SHA-256、SHA-384、SHA-512，使用浏览器加密接口本地完成，文件不上传。
- [UUID 生成](https://qilingtools.com/zh/uuid): 免费在线 UUID 生成器：使用加密安全随机数批量生成符合 RFC 4122 的 UUID v4，可大写、去连字符、加花括号，一键复制。
- [进制转换](https://qilingtools.com/zh/base-convert): 免费在线进制转换工具：二进制、八进制、十进制、十六进制及任意 2–36 进制互转，支持大整数（BigInt），本地实时计算。