用途：该技能面向 Web 应用安全加固，指导配置 HTTP 安全响应头，防御 XSS、点击劫持、MIME 嗅探等常见攻击。适用场景包括新建 Web 应用、加固既有应用、修复安全扫描器发现的问题、实施内容安全策略（CSP）以及防止点击劫持。
主要能力：列出关键安全头及其优先级，包括 Content-Security-Policy（防 XSS，高）、Strict-Transport-Security（强制 HTTPS，高）、X-Frame-Options（防点击劫持，高）、X-Content-Type-Options（防 MIME 嗅探，中）、Referrer-Policy（隐私，中）、Permissions-Policy（功能控制，中）。同时涉及跨源策略头（COEP、COOP、CORP）。
使用方式：提供 Express.js 配合 Helmet 的配置写法，以及 Nginx、Apache 的 add_header/Header 配置示例。CSP 部分讲解指令集（defaultSrc、scriptSrc、styleSrc、imgSrc、connectSrc、objectSrc、frameSrc、frameAncestors、formAction、baseUri、upgradeInsecureRequests），并给出使用 nonce 处理内联脚本、以及 report-only 模式与 CSP 上报端点的方法。测试可用 curl -I https://example.com，或借助 securityheaders.com、observatory.mozilla.org、csp-evaluator.withgoogle.com 等在线工具。
限制与注意：资料未提供该技能的安装命令、收费方式或平台支持信息。安全头配置可能破坏页面功能，建议先以 report-only 模式测试再强制执行；避免使用 unsafe-inline，切勿使用 unsafe-eval；应定期复查并随依赖变化更新策略。