用途：该技能面向 Tauri v2.1.0 及以上版本，指导开发者在 WebView 响应中配置 HTTP 头，用于实现安全头、自定义头与 CORS 策略。这些头仅作用于生产构建，不影响 IPC 消息与错误响应。
主要能力：Tauri 将可配置头限制在白名单内，包括 CORS 类（Access-Control-Allow-Credentials、Allow-Headers、Allow-Methods、Expose-Headers、Max-Age）、跨源策略类（Cross-Origin-Embedder-Policy、Opener-Policy、Resource-Policy）、安全头（X-Content-Type-Options、Permissions-Policy、Timing-Allow-Origin、Service-Worker-Allowed），以及仅供测试的 Tauri-Custom-Header。配置位于 src-tauri/tauri.conf.json 的 app.security.headers 下，值支持字符串（直接赋值）、数组（逗号连接）、对象（格式化为 "key value" 并以分号连接）与 null（忽略该头）。
使用方式：在 tauri.conf.json 中按需设置头，例如同时设置 Cross-Origin-Opener-Policy 为 same-origin、Cross-Origin-Embedder-Policy 为 require-corp 可启用 SharedArrayBuffer。开发服务器的头需在框架侧单独配置，Tauri 注入只对生产构建生效，文中给出 Vite、Angular、Nuxt、Next.js、Trunk 的配置示例。CSP 需在 app.security.csp 单独配置，不放在 headers 中。
适用场景：需要跨源隔离、启用 SharedArrayBuffer、限制或放开 CORS、控制浏览器功能权限的 Tauri v2 桌面应用。
限制：仅 Tauri v2.1.0 及以上支持；头配置受白名单约束；Tauri-Custom-Header 不可用于生产；开发环境需额外配置。关于收费、价格与平台信息暂未提供。