📖 常见问题 (FAQ)
❓ HTTP头检查工具有什么用？
HTTP头检查工具可以帮助网站管理员、安全工程师和开发者分析网站的HTTP响应头部信息。通过检查安全相关头（如Content-Security-Policy、Strict-Transport-Security、X-Frame-Options等），可以评估网站的安全配置是否完善，发现潜在的安全漏洞和配置问题。
❓ HTTP头检查会访问目标网站吗？
是的，当你输入一个URL并点击检查后，本工具会通过浏览器发送一个GET请求到目标网站（通过fetch API），并读取返回的HTTP响应头。由于这是从你的浏览器发起的请求，受到同源策略的限制，某些网站可能无法跨域访问，这种情况下会提示错误。
❓ Content-Security-Policy（CSP）头的作用是什么？
CSP是重要的安全机制，用于防止跨站脚本攻击（XSS）、点击劫持等攻击。它通过白名单机制告诉浏览器哪些来源的脚本、样式、图片等资源是可信的。例如，script-src 'self' 只允许加载同源的JavaScript文件，阻止恶意脚本的执行。
❓ 哪些HTTP安全头是网站应该配置的？
网站应该配置以下关键安全头：Content-Security-Policy（防止XSS）、Strict-Transport-Security（强制HTTPS）、X-Frame-Options（防止点击劫持）、X-Content-Type-Options（防止MIME类型嗅探）、Referrer-Policy（控制引用来源泄露）、Permissions-Policy（限制API权限）和Cache-Control（缓存策略）。
❓ 为什么某些网站会显示检查失败？
检查失败可能有以下原因：1）目标网站配置了CORS限制，不允许跨域请求；2）目标网站无法访问或已下线；3）输入了不正确的URL格式（需要包含协议，如https://）。这是浏览器安全机制的正常限制，你可以在浏览器开发者工具的Network面板中手动查看这些网站的响应头。