安全响应头生成器
一次生成 HSTS、CSP、Referrer-Policy、Permissions-Policy 的完整配置，直接给出 nginx、Caddy、Netlify、Next.js、Apache 五种写法，并把会搞挂线上站的设置先标出来。
我们审计的 104 个线上站点中，83.7% 没通过 security-headers 检查。勾选你要的，直接拿到对应服务器的准确配置。
使用说明
勾选需要的响应头，选好策略预设，再选服务器语法；生成器直接输出可粘贴的配置块。输出上方会列出上线前必须先看的问题：会让页面白屏的 CSP、几乎不可逆的 preload、被 preload 列表忽略的 max-age。看完警告再粘。
常见问题
我们实测了 104 个线上站点，83.7% 完全没配安全响应头，所以这是投入产出比最高的一项。输出不是泛泛而谈：nginx 每行都带 always，因为自己写了 add_header 的 location 会静默丢掉继承来的头；Netlify 与 Cloudflare Pages 给的是 _headers 格式，包含解析器需要的空行；Next.js 给的是 headers() 对象，键值都带真实引号。X-Frame-Options 会标注已被 frame-ancestors 取代，Report-Only 也会明说它其实什么都不拦。
隐私：全部计算在你的浏览器里完成，内容不会离开本机。