用途：对 Web 项目做 HTTP 安全响应头配置的静态代码审查，识别缺失或配置不当的响应头，降低点击劫持、MIME 嗅探、XSS 放大、跨域数据泄露与协议降级等客户端攻击风险。
主要能力：覆盖 10 余项头部控制，包括 Content-Security-Policy（含 unsafe-inline、unsafe-eval、通配符源）、CORS（Access-Control-Allow-Origin 通配）、HSTS（max-age、includeSubDomains、preload）、X-Content-Type-Options、X-Frame-Options 与 CSP frame-ancestors、Referrer-Policy、Permissions-Policy 等。每项发现映射 CWE 与 OWASP Top 10:2021，并给出 UNSAFE/SAFE 代码对照及框架相关修复建议。
使用方式：先识别项目所用框架（如 package.json 含 helmet/cors/express、nginx.conf、.htaccess、next.config.js、requirements.txt 含 Flask/Django、pom.xml 含 spring-boot），再定位承载头部配置的文件（app.js、server.js、middleware/、nginx.conf、settings.py、SecurityConfig.java 等），逐项执行检查，判定严重级别、记录文件与位置、去重并按 Critical>High>Medium>Low 排序，最后输出发现报告并汇总总数、严重级别分布与前三项修复优先级。该技能为纯分析型，无需安装外部工具、无需 API 密钥，可离线运行。
适用场景：安全审计、渗透测试或合规评审（PCI-DSS、HIPAA、FedRAMP）前的准备；审查 Express 中间件、Nginx server 块、Apache VirtualHost、Flask 响应对象或 Spring Boot 安全配置；PR 修改服务器配置、中间件栈或 HTTP 响应处理时。
限制：不做运行时测试，实时响应验证应使用 DAST 工具；不处理认证绕过、SQL 注入、访问控制等应用逻辑问题；不替代完整 SAST 扫描；移动安全、证书固定等问题应转交相应技能；SQL 注入、XSS、输入校验等代码问题应转交 security-review 或 bandit-sast。