UD5工具箱
关于 Web 安全头分析器
Web 安全头分析器是一款专为网站管理员、安全工程师和 Web 开发者设计的在线安全检测工具。HTTP 安全响应头是 Web 安全防御体系中的重要组成部分，它们通过在 HTTP 响应中添加特定的头部信息来指导浏览器采取相应的安全策略。正确配置这些安全头可以有效防范多种常见的 Web 攻击，包括跨站脚本攻击（XSS）、点击劫持（Clickjacking）、SSL 剥离攻击（SSL Stripping）、MIME 类型嗅探（MIME Sniffing）等。然而，在实际的网站运维中，许多管理员并不清楚应该配置哪些安全头、如何正确配置以及配置后是否生效。
本工具正是为了解决这些问题而诞生的。通过输入目标网站的 URL，工具会自动发送 HTTP 请求获取响应头信息，然后对其中的安全相关头部进行逐项分析。分析内容包括：该安全头是否已配置、配置值是否正确、是否存在潜在的安全风险等。对于缺失的安全头，工具会提供详细的配置建议，包括在 Apache、Nginx、Cloudflare 等常见环境中的配置方法。最终，工具会根据所有安全头的配置情况给出一个综合安全评分（0-100分）和等级（A-F），帮助管理员快速了解网站的安全头配置状况。
除了自动检测 URL 的功能外，本工具还支持手动粘贴响应头信息。在某些情况下，开发者可能无法直接通过工具访问目标网站（例如内网环境、需要特定认证头等），此时可以通过浏览器开发者工具或 curl 命令获取响应头信息，然后粘贴到工具中进行分析。工具会自动解析粘贴的响应头文本，提取其中的安全相关头部进行评估。这种灵活的输入方式使得工具能够适用于各种网络环境和使用场景。
本工具检测的安全头涵盖了 OWASP 推荐的所有主要安全响应头。Content-Security-Policy（CSP）是最复杂也是最重要的安全头之一，它定义了页面可以加载和执行哪些类型的资源，是防范 XSS 攻击的最有效手段。Strict-Transport-Security（HSTS）强制浏览器使用 HTTPS 连接，防止 SSL 剥离攻击和会话劫持。X-Frame-Options 控制页面是否可以被嵌入到 iframe 中，防止点击劫持攻击。X-Content-Type-Options 防止浏览器进行 MIME 类型嗅探。X-XSS-Protection 是旧版浏览器的 XSS 过滤器配置。Referrer-Policy 控制 HTTP Referer 头的发送策略。Permissions-Policy 控制浏览器哪些特性可以被使用。Cache-Control 和 Pragma 控制缓存策略，防止敏感信息被缓存。
对于每项安全头的分析，工具不仅会检查是否存在，还会验证配置值的正确性。例如，对于 HSTS 头，工具会检查 max-age 值是否足够长（建议至少 31536000 秒，即一年），是否包含了 includeSubDomains 和 preload 指令。对于 CSP 头，工具会分析策略中是否存在过于宽松的指令（如 'unsafe-inline'、'unsafe-eval'、data: 等），并给出更安全的替代方案。对于 Set-Cookie 头，工具会检查是否设置了 Secure、HttpOnly 和 SameSite 属性。这些深入的分析确保了安全头不仅仅是"存在"，而且是"正确配置"的。总之，Web 安全头分析器是每一位关注 Web 安全的开发者和管理员不可或缺的检测工具。