Content Security Policy 缺失或设置不当

许多网站在设置清静头时最容易忽略的是 Content-Security-Policy (CSP)。。若是 CSP 缺失或设置过于宽松，，攻击者可能通过 XSS 注入恶意剧本，，导致用户数据泄露或页面被改动。。

• 过失体现：允许 unsafe-inline 和 unsafe-eval 同时生效
  ；；；未限制脚原泉源域名。。
• 修正方案：只允许来自可信域名的剧本和样式。。例如：script-src 'self' trusted-cdn.com;。。阻止使用通配符 *，，且仅在须要场景下启用 unsafe-inline 或 unsafe-eval。。

X-Content-Type-Options 缺失

部分站长可能忽略 X-Content-Type-Options: nosniff 头。。若缺少此头，，某些浏览器会实验推测资源的 MIME 类型，，进而可能执行非预期的剧本文件，，造成清静风险。。

• 过失体现：服务器返回的资源 Content-Type 与现实文件不匹配，，浏览器仍会执行。。
• 修正方案：在所有响应中添加 X-Content-Type-Options: nosniff 头，，并确保服务规则确返回 Content-Type，，例如将 .js 文件返回 application/javascript。。

X-Frame-Options 未设置或设置不对理

关于希望被第三方网站引用的页面（如分享功效），，有些开发者会误将 X-Frame-Options 设为 ALLOW-FROM 或完全不设置。。但 ALLOW-FROM 兼容性较差，，而缺失此头则可能被用于点击挟制。。

• 过失体现：允许任何网站将页面嵌入 iframe，，或仅指定简单域名但使用已弃用的语法。。
• 修正方案：一般推荐设置为 SAMEORIGIN
  ；；；若确实需要跨域嵌入，，应改用 Content-Security-Policy: frame-ancestors 指令，，兼容性更好且控制粒度更细。。

Strict-Transport-Security 战略过短或缺少 includeSubDomains

HSTS 头（Strict-Transport-Security）能强制浏览器仅通过 HTTPS 会见，，但若是 max-age 设置过短（如几分钟），，或未包括 includeSubDomains，，子域名仍可能袒露于 HTTP 毗连之下。。

• 过失体现：Strict-Transport-Security: max-age=60
  ；；；未包括 includeSubDomains 导致子站可被 http 会见。。
• 修正方案：建议 max-age 至少为 31536000（一年），，并附加 includeSubDomains，，同时确保全站所有子域名都具备 HTTPS 能力后再启用。。

Referrer-Policy 设置过松袒露泉源路径

许多站点未设置 Referrer-Policy 或默认使用 no-referrer-when-downgrade，，导致外部站点可能获取到含有 session ID 或参数的完整 URL，，增添信息泄露风险。。

• 过失体现：通过 Referer 头透传带有用户 Token 的完整盘问字符串到第三方。。
• 修正方案：推荐使用 strict-origin-when-cross-origin，，既能在同源场景下保存完整信息，，又能限制跨源请求仅发送源信息，，不发送路径和参数。。

Permissions-Policy 未限制敏感功效会见

缺失 Permissions-Policy（原 Feature-Policy）会导致页面中的第三方剧本（如统计工具、广告剧本）可以随意挪用摄像头、麦克风、地理位置等敏感 API，，增添用户隐私风险。。

• 过失体现：未限制 geolocation 或 camera 权限，，任何剧本均可实验挪用。。
• 修正方案：凭证页面现实需要仅授权须要的功效，，例如搜索页面无需摄像头权限：Permissions-Policy: geolocation=(), camera=(), microphone=()，，只对需要这些功效的页面单独开放。。

常见过失总结与快速自查表

在百度搜索引擎优化历程中，，清静头的准确设置不但能提升网站清静性，，还能间接增强用户信任度与搜索引擎对站点质量的评估。。建议网站治理员使用在线清静头检测工具按期扫描，，并比照上表逐项检查修正。。修正完毕后，，还应通过浏览器开发者工具确认响应头已准确下发，，阻止因 CDN 或反向署理设置忽略导致现实未生效。。