GUIDE深度 · Deep dive
常见 HTTP 安全头
安全头是纵深防御的一层：CSP 限制脚本来源，HSTS 强制 HTTPS，nosniff 阻止 MIME 嗅探，frame 防点击劫持，referrer 控制来源泄露，permissions 限制浏览器能力。
优先加
HSTS：max-age 至少半年，先确认全站 HTTPS。
X-Content-Type-Options: nosniff。
X-Frame-Options: DENY 或 CSP frame-ancestors。
CSP
先 Report-Only 观察，再强制。
避免 unsafe-inline，改用 nonce/hash。
常见问题
HSTS 能撤销吗？
浏览器缓存 max-age，期间很难回退；先短时间测试。
CSP 会弄坏页面吗？
会，尤其内联脚本/第三方；用 Report-Only 先看。