关于 security-headers
用于审计和配置 Web 应用 HTTP 安全标头的 Skill。它会识别框架、检查现有设置、生成对应框架的修复配置，并验证结果。
主要功能
- 01识别 Web 框架及配置
- 02按安全指引检查标头
- 03生成框架专用配置
- 04验证标头设置
适用场景
- 01审计应用的 HTTP 标头
- 02补充缺失的安全标头
- 03变更后检查标头配置
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-headers确认已加载。
附带文件references/headers-reference.mdreferences/templates/headers-config.md
详细介绍
此技能用于审计和配置 Web 应用的 HTTP 安全标头：
Content-Security-Policy 和 Strict-Transport-Security（缺失时为高严重性），
X-Content-Type-Options 和 X-Frame-Options（中），以及 Referrer-Policy、
Permissions-Policy、X-XSS-Protection（低）。
它会检测框架（Next.js next.config.js headers/middleware.ts、Laravel SecurityHeaders 中间件、Express helmet、Django SECURE_* 设置），根据最佳实践检查当前配置，生成针对相应框架的修复方案，并验证标头是否设置正确。
安全标头技能
概述
审计和配置 Web 应用的 HTTP 安全标头。
必需的标头
| 标头 | 用途 | 缺失时的严重性 |
|---|---|---|
| Content-Security-Policy | 防止 XSS/注入 | 高 |
| Strict-Transport-Security | 强制使用 HTTPS | 高 |
| X-Content-Type-Options | 防止 MIME 嗅探 | 中 |
| X-Frame-Options | 防止点击劫持 | 中 |
| Referrer-Policy | 控制来源信息 | 低 |
| Permissions-Policy | 控制浏览器功能 | 低 |
| X-XSS-Protection | 旧版 XSS 过滤器 | 低 |
工作流
- 检测框架（Next.js、Laravel、Express 等）
- 检查当前标头配置
- 对照安全最佳实践
- 生成针对相应框架的配置
- 验证标头是否设置正确
检测位置
| 框架 | 配置位置 |
|---|---|
| Next.js | next.config.js headers、middleware.ts |
| Laravel | SecurityHeaders 中间件 |
| Express | helmet 中间件 |
| Django | SECURE_* 设置 |
参考资料
评论
支持 Markdown