用途
该技能用于对 Web 应用执行 HTTP 安全响应头审计，检查 CSP、HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy 以及 Cookie 安全属性等浏览器端防护配置，识别缺失或配置不当的安全头。
适用时机包括：经授权的 Web 应用安全评估中的标准配置审查；评估针对 XSS、点击劫持和数据泄露的浏览器级防护；需要安全头实现的合规评估（PCI DSS、SOC 2）；初步侦察以发现易于改进的安全项；以及 CI/CD 流水线中对新部署的安全门禁检查。
主要能力
- 收集并编目目标的所有安全相关响应头，支持跨多个页面（首页、登录、API、管理、静态资源等）以及 HTTP/HTTPS 两种协议检查。
- 评估传输安全（HSTS）：检查 max-age、includeSubDomains、preload 属性，验证 HTTP 到 HTTPS 重定向、HTTPS-only Cookie 以及混合内容。
- 审计内容安全策略（CSP）：识别危险指令（如 script-src 中的 'unsafe-inline'、'unsafe-eval'、通配符 *、data: URI），检查是否仅为 report-only 模式，并提示通过白名单域进行 CSP 绕过的可能性。
- 检查框架保护与点击防御头：X-Frame-Options、CSP frame-ancestors、X-Content-Type-Options、X-XSS-Protection、Referrer-Policy。
- 审计 Cookie 安全属性：Secure、HttpOnly、SameSite、Path、Domain、Max-Age/Expires，以及 __Host- 和 __Secure- 前缀。
- 检查权限策略与信息泄露：Permissions-Policy、跨源头（COEP、COOP、CORP）、Server、X-Powered-By 等指纹头，以及敏感页面的 Cache-Control。
- 输出结构化审计报告，包含头部评估表、Cookie 安全表、信息泄露表以及按优先级排序的修复建议。
使用方式
前置条件：目标应用的书面授权范围；curl 用于获取响应头；SecurityHeaders.com 在线扫描器；Mozilla Observatory；Burp Suite 用于多页面综合分析；浏览器开发者工具用于实时检查头部和 CSP 违规。
工作流程：
- 使用 curl 收集目标安全头，可遍历多个页面并对比 HTTP 与 HTTPS 响应。
- 评估 HSTS 配置，检查 max-age 是否达到 31536000 秒、includeSubDomains 与 preload，验证 HTTP 重定向、HTTPS-only Cookie 和混合内容。
- 审计 CSP，提取头部并逐指令检查危险项，确认是否仅为 report-only，可使用 Google CSP Evaluator 分析。
- 检查框架保护与点击防御头，包括 X-Frame-Options、frame-ancestors、X-Content-Type-Options、X-XSS-Protection、Referrer-Policy。
- 审计 Cookie 安全属性，逐条检查 Secure、HttpOnly、SameSite 等标志是否缺失。
- 检查 Permissions-Policy、跨源头、信息泄露头以及敏感页面缓存控制，并可使用 SecurityHeaders.com 和 Mozilla Observatory 生成综合报告。
适用场景
- 经授权的 Web 应用安全评估中的配置审查。
- 合规评估（PCI DSS、SOC 2）中安全头实现检查。
- CI/CD 流水线安全门禁。
- 初步侦察以识别易于改进的安全项。
- 评估针对 XSS、点击劫持和数据泄露的浏览器级防护。
限制
- 需要目标应用的书面授权范围。
- 头部审查本身风险较低，但审计结果依赖目标响应头的可获取性。
- 部分检查（如 HSTS preload 状态）需借助外部站点（hstspreload.org）确认。
- CSP 绕过分析可能需结合白名单域中的 JSONP 端点或库进一步验证。
- 资料未提供该技能的具体安装命令、收费模式或平台支持信息。