关于 security-headers
用于审计和配置 Web 应用 HTTP 安全标头的技能，面向维护应用安全设置的开发者。它识别框架对应的配置位置、检查现有标头、生成修复方案并验证结果。
主要功能
- 01识别 Web 框架
- 02检查现有标头设置
- 03对照最佳实践检查配置
- 04生成框架专属修复方案
- 05验证标头配置
- 06涵盖七种 HTTP 安全标头
适用场景
- 01审计 Web 应用的安全标头
- 02查找缺失或配置不当的标头
- 03生成适配框架的配置变更
- 04修复后验证标头设置
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-headers确认已加载。
详细介绍
此技能用于审计和配置 Web 应用的 HTTP 安全标头：
Content-Security-Policy 和 Strict-Transport-Security（缺失时为高严重性），
X-Content-Type-Options 和 X-Frame-Options（中），以及 Referrer-Policy、
Permissions-Policy、X-XSS-Protection（低）。
它会检测框架（Next.js next.config.js headers/middleware.ts、Laravel SecurityHeaders 中间件、Express helmet、Django SECURE_* 设置），根据最佳实践检查当前配置，生成针对相应框架的修复方案，并验证标头是否设置正确。
安全标头技能
概述
审计和配置 Web 应用的 HTTP 安全标头。
必需的标头
| 标头 | 用途 | 缺失时的严重性 |
|---|---|---|
| Content-Security-Policy | 防止 XSS/注入 | 高 |
| Strict-Transport-Security | 强制使用 HTTPS | 高 |
| X-Content-Type-Options | 防止 MIME 嗅探 | 中 |
| X-Frame-Options | 防止点击劫持 | 中 |
| Referrer-Policy | 控制来源信息 | 低 |
| Permissions-Policy | 控制浏览器功能 | 低 |
| X-XSS-Protection | 旧版 XSS 过滤器 | 低 |
工作流
- 检测框架（Next.js、Laravel、Express 等）
- 检查当前标头配置
- 对照安全最佳实践
- 生成针对相应框架的配置
- 验证标头是否设置正确
检测位置
| 框架 | 配置位置 |
|---|---|
| Next.js | next.config.js headers、middleware.ts |
| Laravel | SecurityHeaders 中间件 |
| Express | helmet 中间件 |
| Django | SECURE_* 设置 |
参考资料
评论
支持 Markdown