用途：为 Web 应用添加安全响应头与内容安全策略（CSP），并以安全方式逐步上线，避免直接启用导致页面功能损坏。
主要能力：设置 X-Frame-Options、X-Content-Type-Options、X-XSS-Protection、Referrer-Policy、Permissions-Policy 以及生产环境下的 HSTS；定义 CSP 策略，先以 Content-Security-Policy-Report-Only 模式收集违规，再切换到强制模式；提供 CSP 违规上报端点，记录 document-uri、violated-directive、blocked-uri 等字段；为内联脚本与样式生成 nonce；集成 Helmet.js 统一配置；给出分阶段上线计划（第1周 report-only、第2周分析、第3周 10% 流量、第4周逐步到 100%）；提供基于 vitest 与 supertest 的 CSP 测试示例；列出常见问题与修复方式（内联事件处理器、内联样式、eval、第三方脚本白名单）；并给出监控与告警思路（如 CloudWatch 指标与违规激增告警）。
使用方式：在 Express 中间件中设置安全头；用 formatCSP 将策略对象转为头部字符串；report-only 阶段挂载上报路由；enforce 阶段为每个请求生成 nonce 并注入模板；也可用 helmet 配置 contentSecurityPolicy、hsts、frameguard 等选项。
适用场景：需要加固 HTTP 安全头、引入 CSP 又担心破坏现有功能的 Web 项目，尤其是含内联脚本、第三方 CDN 与统计脚本的站点。
限制：资料未提供具体安装命令、依赖版本、价格或平台支持范围；示例基于 Express 与 TypeScript，其他框架需自行适配；nonce 方案要求模板能注入动态值，且需改造内联脚本与样式。