适用人群
- 检查服务器或代理的开发者
- 比较响应配置的网站维护者
Developer Network Utility
HTTP响应头分析器
粘贴 HTTP 响应头后，可以一次性检查安全 Header、缓存策略、CORS 设置、内容类型和 Cookie 安全选项。
安全 Header 检查
检查 HSTS、CSP、X-Frame-Options、Referrer-Policy 等主要安全 Header。
缓存策略分析
检查 Cache-Control、ETag、Expires 设置，以了解静态文件和 HTML 的缓存状态。
CORS 与 Cookie 检查
同时检查 Access-Control Header 以及 Set-Cookie 的 Secure、HttpOnly、SameSite 选项。
HTTP Header 输入
请从浏览器开发者工具 Network 面板或 curl -I 输出中复制响应 Header 并粘贴。
分析标准
响应 Header 名称不区分大小写进行分析。
推荐检查
综合安全 Header、缓存 Header、CORS 和 Cookie 选项计算评分。
Header 分析分数
0 分
请输入响应 Header 后执行分析。
0%
分析结果
根据良好、注意、风险标准检查主要 HTTP Header 是否存在以及配置状态。
暂无分析结果。
解析后的 Header
将输入的响应 Header 以 key-value 形式整理显示。
暂无解析后的 Header。
详细报告
可复制或下载分析结果，用作服务器配置改进检查清单。
请输入 HTTP 响应 Header，然后点击分析 HTTP Header 按钮。
Header 检查项目比较
HTTP Header 包含安全、缓存、CORS、Cookie 策略等与运营质量直接相关的项目。
安全 Header
HSTS、CSP、X-Frame-Options、X-Content-Type-Options 有助于强制 HTTPS、防止点击劫持和减少 MIME 嗅探。
缓存 Header
Cache-Control、ETag、Expires 用于判断浏览器缓存和 CDN 缓存策略。
CORS 与 Cookie
Access-Control-Allow-Origin 和 Set-Cookie 选项对于检查外部请求允许范围和会话安全状态非常重要。
逐个检查HTTP响应头
粘贴响应头，查看安全、缓存、CORS和Cookie相关指标。输入包含多个HTTP状态行时，仅分析最后一个响应块。
使用场景
- 检查重定向后的最终响应。
- 隐藏真实会话值后检查Cookie属性。
从输入到检查结果
- 1
从浏览器Network面板或仅获取响应头的请求复制内容。
- 2
删除凭据，将Cookie值替换为示例值。
- 3
粘贴后选择Cookie和缓存等检查项。
- 4
先阅读各项发现，再理解检查分数。
- 5
调整对应服务器层，重新获取响应进行比较。
重定向后最终响应
- 输入
- HTTP/1.1 301 Moved Permanently X-Frame-Options: DENY HTTP/2 200 Content-Type: text/html
- 结果
- 仅分析最终响应中的Content-Type。
重定向上的保护头不应计入目标响应。
Cookie属性
- 输入
- Set-Cookie: session=example; Secure; HttpOnly; SameSite=Lax
- 结果
- 检查这三个属性。
example仅为示例值，并非认证令牌。
计算与处理原理
按每行第一个冒号分割，字段名转为小写。包括Set-Cookie在内的重复字段保留独立值。遇到新HTTP状态行时清空之前的字段，只保留最后一块。
限制与注意事项
- 不会请求目标URL或自行跟随重定向。
- 分数来自简单规则，不能证明网站安全。
- CSP、CORS与缓存需结合上下文判断，不能只看是否存在。
- 仅通过HTTP状态行区分响应；没有状态行的多个响应请分别粘贴。
数据处理
响应头在本地解析，不发送给win-j或目标主机。粘贴前请删除令牌、Cookie值和内部标识。
参考资料
相关工具
- Docker Compose生成器
准备Django与PostgreSQL配置。
- YAML验证器
定位缩进错误。
常见问题
高分就是安全认证吗？
不是。应结合实际响应场景开展更深入检查。
多个Set-Cookie会合并吗？
保留各自的值供检查。
为什么前面的字段消失了？
后面的HTTP状态行代表新响应，报告只评估最后一个响应块。