用途：对 Linux 主机或其配置即代码仓库中承担 TLS 终结的反向代理层做只读加固审计，判断客户端到边缘、边缘到应用两条信任边界上的配置缺陷。
主要能力：清点 80/443 端口归属与版本泄露；提取虚拟主机映射并检查默认 catch-all 行为；核查 TLS 协议下限、密码套件、曲线与会话设置；验证证书链完整性、SAN 覆盖、OCSP stapling 与到期自动化；检查 HSTS 及边缘响应头与 nginx add_header 继承陷阱；比对请求体大小与超时限制；枚举 /admin、/actuator、/metrics 等管理路径是否被 CIDR、basic auth 或 mTLS 保护；检查 proxy_pass 目标与 X-Forwarded-For、Host 等转发头信任是否正确；并覆盖 Caddy、HAProxy、Apache 的对应配置与 ACME/certbot 续期卫生。
使用方式：以只读命令采集证据，例如 sudo ss -tlnp | grep -E '(:80|:443)\s'、sudo nginx -T、curl -sI https://HOST/、openssl s_client 探测，以及仓库内 grep -RInE 'ssl_protocols|ssl_ciphers|client_max_body_size|Strict-Transport-Security|proxy_pass' 等扫描；变更步骤仅出现在修复与验证环节。
适用场景：nginx 为主的边缘加固审计、配置即代码评审、证书与续期流程检查。
限制：不覆盖容量型 DoS 防御与限流调优、应用授权逻辑、HTTP 协议滥用载荷；nginx -T 反映磁盘状态而非待重载运行时状态；部分 CA 已停用 OCSP，缺失 stapling 可能仅为信息级；具体命令输出与评分标准需结合模块内模板判断。