用途：为 Web 应用添加安全响应头与内容安全策略（CSP），在不破坏现有功能的前提下安全上线。
主要能力：设置 X-Frame-Options、X-Content-Type-Options、X-XSS-Protection、Referrer-Policy、Permissions-Policy 及生产环境 HSTS；定义 CSP 策略，支持 report-only 与 enforce 两种模式；提供 CSP 违规上报端点与监控告警；通过 nonce 替代 unsafe-inline；集成 Helmet.js；给出分阶段上线计划与测试策略。
使用方式：先以 Content-Security-Policy-Report-Only 部署并收集违规报告，分析后修正内联脚本/样式与第三方来源；再生成每请求 nonce 并切换为 Content-Security-Policy 强制模式；按 10%→50%→100% 流量逐步放量。示例代码使用 Express 中间件、Helmet 与 Vitest/Supertest 测试。
适用场景：需要加固 HTTP 安全头、引入 CSP 的 Web 项目，尤其是存在内联脚本、第三方 CDN 与统计脚本的站点。
限制：资料未提供具体安装命令、版本要求、价格或平台支持信息；示例基于 Express/TypeScript，其他框架需自行适配；上线前需充分测试并记录白名单例外。