medium
如何为你的应用添加安全响应头
问题所在
AI 生成的应用几乎总是缺少安全响应头，使你面临点击劫持、协议降级和内容注入攻击。添加它们既快速又高效。
分步操作
- 1
添加 Strict-Transport-Security（HSTS）
用 Strict-Transport-Security: max-age=63072000; includeSubDomains; preload 强制 HTTPS。
- 2
添加 Content-Security-Policy
从严格开始，仅允许你实际加载脚本、样式和框架的来源。
- 3
添加 X-Content-Type-Options 与 X-Frame-Options
设置 X-Content-Type-Options: nosniff 和 X-Frame-Options: DENY（或 frame-ancestors CSP），以阻止嗅探和点击劫持。
- 4
验证结果
部署后重新扫描你的网址，确认这些响应头出现在线上响应中。
想要的不只是修复，还要有人核实？
修复只是第一步。ClearedToShip 的复核会确认修复确实有效，并为你出具一份签署的、带保险的上线放行许可。加入抢先体验：