用途：这是一个面向 Web 应用的 HTTP 安全响应头技能，用于分析、验证并指导实现安全响应头，降低 XSS、点击劫持、MIME 嗅探、中间人攻击、信息泄露、缓存投毒与协议降级等风险。
主要能力：扫描 HTTP 响应头，识别缺失的安全头与错误配置，校验 CSP 策略与 CORS 设置，并对头部安全态势打分评级；覆盖 XSS、点击劫持、MITM、信息泄露等攻击面的检查，并参考 OWASP 建议与 PCI-DSS、HIPAA 等标准做合规核对，同时考虑浏览器兼容性与性能影响。技能对重点头部给出说明：Content-Security-Policy（含 default-src、script-src、style-src、img-src、font-src、connect-src、frame-src、frame-ancestors、base-uri、form-action 等指令）、Strict-Transport-Security（max-age、includeSubDomains、preload）、X-Frame-Options、X-Content-Type-Options、X-XSS-Protection、Referrer-Policy、Permissions-Policy，以及 CORP、COEP、COOP 等跨源头。
使用方式：以 @security-headers 形式调用，可带目标地址或选项，例如 @security-headers https://example.com、--check-csp、--report、--fix、localhost:3000。可用 curl -I 等命令查看响应头，例如 curl -I https://example.com、curl -IL https://example.com；也可对接 Mozilla Observatory、securityheaders.com 等在线工具 API。技能最终输出包含评分、缺失项、风险与实施建议的分析报告，并给出 Express.js、Nginx、Apache 等配置示例，以及先用 CSP 仅报告模式再收紧的落地路径。
适用场景：网站与应用上线前审计、安全加固、合规检查、渗透测试辅助与定期巡检。
限制：资料未提供该技能的具体收费、运行环境与安装方式；示例配置需按实际域名与业务调整，报告中给出的评分与修复周期仅为示例，不代表真实评估结果。启用 HSTS 前需确保 HTTPS 全站可用，preload 难以撤销，应谨慎。