用途：该资料讲解“缺失安全响应头”这一安全反模式（CWE-16，严重度中），用于在生成或审查 Web 应用代码、服务器配置或 HTTP 响应时识别并修复问题。
主要能力：说明 HTTP 安全头可在浏览器层面防御 XSS、点击劫持和中间人攻击；若应用不发送这些头，就会依赖浏览器默认的宽松策略，失去一层声明式安全防护。资料给出脆弱与安全两段 Flask 代码对比，并列出应设置的头：Content-Security-Policy（如 default-src 'self'）、Strict-Transport-Security（如 max-age=31536000; includeSubDomains）、X-Frame-Options（DENY 或 SAMEORIGIN）、X-Content-Type-Options（nosniff）、Referrer-Policy（strict-origin-when-cross-origin）、Permissions-Policy。
使用方式：检测可用浏览器开发者工具的网络面板查看响应头，或用 SecurityHeaders.com 等在线扫描器，或检查框架/服务器配置是否全局设置。预防方式是在应用中加入中间件或全局响应过滤器，为所有出站响应统一添加上述头；Express.js 可用 Helmet 等专用中间件。
适用场景：Web 应用开发、代码审查、服务器配置检查与安全加固。
限制：资料未提供具体安装命令、价格、平台支持范围或效果数据；示例仅针对 Flask，其他框架需自行适配。相关主题包括 XSS 反模式、开放 CORS 反模式，参考 OWASP Top 10 A02:2025、OWASP Secure Headers Project、CWE-16 等。