用途：为 ASP.NET Core Razor Pages 应用配置安全响应头，作为不改变业务代码的纵深防御手段，抵御 XSS、点击劫持、MIME 嗅探等常见 Web 漏洞，适用于 .NET 8+ 且启用可空引用类型的项目。
主要能力：资料列出多种响应头及对应 OWASP 类别，包括 Content-Security-Policy、Strict-Transport-Security、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy 与旧式 X-XSS-Protection。覆盖内置中间件（UseHsts、UseHttpsRedirection）、自定义 SecurityHeadersMiddleware、CSP 配置、基于 nonce 的内联脚本 CSP、可配置选项（如 AllowedScriptSources、ReportUri）、CSP 违规上报端点、HSTS 配置、Permissions-Policy、按路由的条件化响应头及静态文件响应头等模式。
使用方式：通过中间件在管道早期注册安全头；可用 appsettings.json 的 SecurityHeaders 节配置 CSP 来源；用 nonce 中间件配合 asp-add-nonce 标签助手放行内联脚本；CSP 违规可 POST 到 /api/csp-report 记录。测试可用 curl -I，或 securityheaders.com、csp-evaluator.withgoogle.com、observatory.mozilla.org 等扫描器。
限制与注意：HSTS 仅在非开发环境启用；启用 preload 前需确保 HTTPS 与全部子域正常并经充分测试，再提交至 hstspreload.org。应避免过于宽松的 CSP 与相互冲突的响应头（如 X-Frame-Options 与 frame-ancestors）。资料未说明具体安装命令、收费或价格信息，暂未提供。