HTTP 安全响应头生成
生成 HSTS / CSP 等安全响应头配置，全部在浏览器本地生成，数据不会上传。
选择要生成的响应头
固定为 nosniff，禁止浏览器猜测类型。
说明
- 安全响应头能显著降低 XSS、点击劫持与协议降级等风险；CSP 建议先在 Report-Only 模式验证再正式启用。
- 生成的配置需放到你的站点服务器上才能真正生效；不同托管平台的写法略有差异。
使用说明
HTTP 安全响应头能有效缓解点击劫持、XSS、内容嗅探等常见风险。本工具帮你按需组合 HSTS、CSP、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy 等响应头，并生成多种服务器格式。
- 勾选需要启用的安全头，并按提示填写域名、策略等参数。
- 在预览区查看生成的响应头与各服务器格式（原始头、Nginx、Apache、Netlify）。
- 复制对应片段，粘贴到服务器配置或托管平台即可生效。
常见问题
- 生成配置会上传服务器吗？
- 不会。所有组合与文本生成都在浏览器本地完成，不会上传任何数据。
- CSP 会不会写错影响网站？
- 工具按常见规则生成，但 CSP 与站点资源强相关，建议先用 Report-Only 模式上线观察，确认无误再启用强制。
- HSTS 有什么注意事项？
- 启用 HSTS 后浏览器会强制走 HTTPS，请确保站点已全站 HTTPS，否则可能无法访问。