HTTP 响应头获取器 - 查看任意 URL 的 Header 详情

HTTP 响应头（Response Headers）是服务器在响应客户端请求时，在响应报文头部传递的元数据信息。它们告诉浏览器如何处理返回的内容，包括缓存策略、内容类型、安全策略、跨域规则等。常见的响应头包括 Content-Type（指示内容类型和编码）、Cache-Control（控制缓存行为）、Access-Control-Allow-Origin（控制跨域访问权限）、Strict-Transport-Security（强制 HTTPS 连接）等。通过本工具，您可以快速获取任意 URL 的完整响应头列表，深入了解服务器的配置策略和行为特征。响应头在 Web 开发中扮演着至关重要的角色，正确的响应头配置可以显著提升网站的安全性、性能和用户体验。

CORS（跨域资源共享，Cross-Origin Resource Sharing）是浏览器的安全机制。当前端 JavaScript 通过 fetch 或 XMLHttpRequest 请求不同源（协议、域名、端口任一不同）的 URL 时，浏览器会检查目标服务器是否在响应头中返回了合适的 Access-Control-Allow-Origin 字段。如果目标服务器没有正确配置 CORS 响应头，浏览器出于安全考虑会阻止该请求并抛出 CORS 错误。这是因为浏览器需要防止恶意网站通过脚本窃取其他网站的数据。本工具默认启用 CORS 代理来绕过此限制——代理服务器从目标 URL 获取数据后转发给前端，代理服务器本身不受浏览器 CORS 策略的约束，从而避免了跨域错误。

HTTP 状态码是服务器响应中表示请求处理结果的三位数字，分为五大类。2xx（成功）：请求已被服务器成功接收、理解和处理。常见值包括 200 OK（请求成功）、201 Created（资源已创建）、204 No Content（成功但无返回内容）。3xx（重定向）：请求的资源已移动到新位置，需要客户端进一步操作。常见值包括 301 Moved Permanently（永久重定向）、302 Found（临时重定向）、304 Not Modified（资源未修改，使用缓存）。4xx（客户端错误）：请求有问题，服务器无法处理。常见值包括 400 Bad Request（请求格式错误）、401 Unauthorized（未认证）、403 Forbidden（无权限）、404 Not Found（资源不存在）。5xx（服务器错误）：服务器在处理请求时发生内部错误。常见值包括 500 Internal Server Error（服务器内部错误）、502 Bad Gateway（网关错误）、503 Service Unavailable（服务不可用）。本工具的快速测试预设涵盖了 200、301、404、500 等常见状态码场景。

GET 和 HEAD 是 HTTP 协议中最常用的两种请求方法。GET 请求会返回完整的响应，包括响应头和响应体（即实际的内容数据），适用于需要获取和查看响应内容的场景。HEAD 请求的语义与 GET 完全相同，但服务器只会返回响应头，不返回响应体，因此响应体为空。HEAD 请求的主要优势是传输数据量更小、速度更快。HEAD 的典型用途包括：检查资源是否存在（通过状态码判断）、获取文件大小（通过 Content-Length 响应头）、验证缓存是否有效（通过 ETag 或 Last-Modified 头比较）、检测 URL 是否发生重定向。在本工具中，如果您只需要查看响应头信息（大多数情况如此），推荐使用 HEAD 模式以获得更快的响应速度。如果您还需要查看响应体内容（如 JSON 数据结构），则应选择 GET 模式。

缓存是 Web 性能优化的核心机制，HTTP 通过多种响应头来控制缓存行为。Cache-Control 是最重要的缓存控制头，常见指令包括：max-age=3600（资源在 3600 秒内有效，浏览器直接使用缓存）、no-cache（每次使用前必须向服务器验证缓存是否有效）、no-store（完全禁止缓存，每次都从服务器获取最新内容）、must-revalidate（缓存过期后必须向服务器确认）。ETag 是服务器为资源生成的唯一标识符（通常是哈希值），浏览器下次请求时通过 If-None-Match 头发送之前收到的 ETag，服务器比对后决定返回 304（未变化）还是 200（已变化并返回新内容）。Last-Modified 表示资源最后修改时间，配合 If-Modified-Since 头进行条件请求。Expires 指定缓存过期的绝对时间（已被 Cache-Control 的 max-age 取代）。通过本工具查看目标网站的缓存响应头，可以帮助您了解和优化网站的缓存策略。

HTTPS 安全头（Security Headers）是一类特殊的 HTTP 响应头，用于增强 Web 应用的安全性。通过本工具获取响应头后，重点关注以下安全相关头部：Strict-Transport-Security（HSTS）：强制浏览器在一段时间内只使用 HTTPS 连接该域名，防止 SSL 剥离攻击，建议设置 includeSubDomains 和 preload 指令。Content-Security-Policy（CSP）：定义页面可以加载和执行哪些资源，有效防止 XSS 攻击和数据注入。X-Frame-Options：控制页面是否可以被嵌入 iframe，防止点击劫持攻击，可选 DENY、SAMEORIGIN 或 ALLOW-FROM。X-Content-Type-Options：设置为 nosniff，禁止浏览器对响应进行 MIME 类型嗅探，防止 MIME 混淆攻击。Referrer-Policy：控制页面跳转时 Referer 头的发送策略，保护用户隐私。Permissions-Policy：控制浏览器 API 和功能的使用权限（如摄像头、麦克风、定位等）。建议使用安全头检测工具（如 securityheaders.com）进行全面评估，但本工具可以快速获取原始响应头数据用于初步检查。

Set-Cookie 是服务器通过响应头向客户端浏览器设置 Cookie 的机制。当服务器返回 Set-Cookie 响应头时，浏览器会将指定的 Cookie 保存到本地，后续对该域名的请求会自动在请求头中携带该 Cookie。Set-Cookie 可以包含多个属性来控制 Cookie 的行为和安全性。HttpOnly 属性：设置后 JavaScript 无法通过 document.cookie 读取该 Cookie，有效防止 XSS 攻击窃取会话信息。Secure 属性：设置后 Cookie 仅通过 HTTPS 连接传输，防止在 HTTP 连接中被窃听。SameSite 属性：控制跨站请求是否携带 Cookie，可选 Strict（所有跨站请求都不携带）、Lax（顶级导航跳转时携带，其他跨站请求不携带）或 None（所有请求都携带，需配合 Secure 使用）。Domain 和 Path 属性：限定 Cookie 的作用域，只有匹配的域名和路径才会携带该 Cookie。Max-Age 和 Expires 属性：设置 Cookie 的有效期，Max-Age 指定秒数，Expires 指定具体过期时间。通过本工具查看目标网站的 Set-Cookie 响应头，可以全面了解其 Cookie 安全配置。

使用 CORS 代理时需要了解其工作原理和潜在风险。CORS 代理服务器作为中间人，会接收您的请求并转发到目标 URL，然后将目标服务器的响应返回给您。这意味着代理服务器在技术上可以看到请求的 URL 和响应内容。本工具内置的公共代理服务（corsproxy.io 和 allorigins.win）是广泛使用的开源代理方案，有良好的社区信誉，但它们并非由本工具运营方控制。建议：对于非敏感的公开信息查询（如检查公开 API 的响应头），使用公共代理是安全的。对于包含敏感数据的请求，建议使用自定义代理（可自行部署代理服务）或选择不使用代理（如果目标服务器已允许跨域）。本工具不会记录或存储您的任何请求数据，所有请求均在浏览器端发起和处理。

获取到的响应头可能与预期不一致，常见原因包括以下几种。第一，CORS 代理过滤：部分 CORS 代理可能会过滤或修改某些响应头（如 Set-Cookie、WWW-Authenticate 等安全相关头部），这是代理服务的安全策略。第二，浏览器限制：浏览器出于安全考虑，某些响应头（如 Set-Cookie）在跨域请求中可能被隐藏或限制。第三，HEAD 请求差异：使用 HEAD 方法时，服务器返回的响应头可能与 GET 请求略有不同，某些服务器可能在 HEAD 响应中省略部分头部。第四，CDN 或负载均衡器修改：如果目标网站使用了 CDN 或负载均衡器，中间层可能会修改或移除某些响应头。第五，缓存影响：如果响应来自缓存，某些动态生成的响应头可能不会出现在缓存响应中。建议尝试切换请求方法（GET/HEAD）、切换或禁用代理、清除浏览器缓存后重试，以获取更完整的响应头信息。

本工具可以作为网站安全审计的第一步工具，帮助快速检查安全相关的响应头配置。审计步骤建议如下：第一步，获取目标网站的完整响应头列表。第二步，检查是否存在 Strict-Transport-Security（HSTS）头部，确认是否强制使用 HTTPS 以及 max-age 设置是否足够长（建议至少 31536000 秒，即一年）。第三步，检查 Content-Security-Policy（CSP）头部，评估是否有合理的资源加载限制策略。第四步，检查 X-Frame-Options 和 CSP 的 frame-ancestors 指令，确认是否防止了点击劫持攻击。第五步，检查 X-Content-Type-Options 是否设置为 nosniff。第六步，检查 Referrer-Policy 和 Permissions-Policy 的配置。第七步，检查 Set-Cookie 中是否包含 HttpOnly、Secure 和 SameSite 属性。第八步，检查是否存在服务器版本信息泄露（如 Server、X-Powered-By 头部），建议在生产环境中隐藏这些信息。通过系统性地检查这些响应头，可以快速识别常见的安全配置问题。

工具显示的响应时间是单次 HTTP 请求从发起到收到完整响应的总耗时，包括 DNS 解析、TCP 连接建立、TLS 握手、服务器处理和数据传输等所有阶段。实际页面加载速度则是一个更复杂的综合指标，它包含了：HTML 文档本身的加载时间、CSS/JavaScript/图片等外部资源的并行加载时间、浏览器解析和渲染时间、JavaScript 执行时间等。单个资源的响应时间只是页面加载速度的一个组成部分。通过本工具查看响应时间，可以帮助您评估服务器的基础响应性能。如果单个资源的响应时间就已经很长（如超过 1 秒），通常意味着服务器端存在性能瓶颈，需要优化后端处理速度。同时，观察 Content-Length 响应头可以帮助判断响应体大小，过大的响应体会增加传输时间。对于性能优化，除了关注响应时间外，还应结合 Cache-Control 等缓存头部来评估整体资源加载策略。