用途：对指定域名的最终落地页响应头做安全检查，按 OWASP Secure Headers Project 给出 6 分制 A–F 评级，仅需 curl，无需注册。
主要能力：先解析重定向拿到最终 URL，再抓取该页面响应头，逐项判定六类头：Content-Security-Policy（要求生效且不含 unsafe-eval、script-src/object-src 无裸 *，unsafe-inline 需配 nonce 或 sha256 才不算弱）、Strict-Transport-Security（要求存在、max-age ≥ 15552000、含 includeSubDomains，preload 仅加分）、框架保护（X-Frame-Options 为 DENY/SAMEORIGIN，或 CSP frame-ancestors）、X-Content-Type-Options 为 nosniff、Referrer-Policy 取严格值（unsafe-url 不得分）、Permissions-Policy 至少限制 camera、microphone、geolocation。另设信息泄露扣分项：Server 带版本号、出现 X-Powered-By 各降一级（最多降一级）。评分：6/6 为 A，5/6 为 B，3–4/6 为 C，1–2/6 为 D，0/6 为 F。
触发方式：如“Check the security headers on example.com”“Do I have HSTS configured correctly?”“Grade my site's headers”“Is my CSP safe?”。
使用方式：先用 curl -sIL -o /dev/null -m 15 -w '%{url_effective}' "https://$DOMAIN/" 取得最终 URL，再用 curl -sI -m 15 "$FINAL" 抓头并 grep 相关头字段；若返回 405/501（服务器拒绝 HEAD），改用 curl -s -D /tmp/headers.txt -o /dev/null -m 15 "$FINAL"。最后按模板输出评级表与问题清单。
适用场景：上线前自查、CSP/HSTS 配置确认、被动信息泄露排查、安全头回归检查。
限制：只依据响应头实际内容判级；经 <meta> 标签下发的 CSP 不会出现在响应头中，应注明“无头级 CSP；本探测不检查 meta 标签 CSP”，不能断言完全没有 CSP；不对服务器提改动建议，仅报告发现。评级标准、命令与检查项均来自公开技能说明，具体支持平台与是否收费暂未提供。