本文目录
什么是 HTTP 头
HTTP 头是客户端与服务器之间在每次请求和响应中传递的元数据字段。它们控制缓存行为、指定内容类型、管理身份验证、执行安全策略，并支持压缩、CORS 等功能。理解 HTTP 头是调试 Web 应用、优化性能和保护 API 的基础。
虽然浏览器开发者工具能显示单个请求的头信息，但 HTTP 头分析器提供了更聚焦的视图，可突出安全问题、性能优化机会和配置隐患。它能标记缺失的安全头，对过于宽松的 CORS 策略发出警告，并识别损害性能的缓存配置错误。
如何分析 HTTP 头
CheckTown 的 HTTP 头分析器会检查响应头，并针对安全和性能提供可落地的建议。
- 输入 URL 即可获取其 HTTP 响应头，并以结构化、分类的形式查看
- 查看 Content-Security-Policy、Strict-Transport-Security、X-Content-Type-Options 等安全头
- 检查缓存头（Cache-Control、ETag、Expires），了解服务器如何管理内容的时效性
- 识别缺失的推荐头，并给出应添加什么以及为何重要的建议
免费试用 —— 无需注册
分析 HTTP 头 →每位开发者都应了解的关键 HTTP 头
某些 HTTP 头几乎出现在所有生产环境的 Web 应用中，并直接影响安全、性能和用户体验。
- Content-Security-Policy 限制页面可加载的资源，从而防范跨站脚本（XSS）和数据注入攻击
- Strict-Transport-Security（HSTS）强制浏览器在后续所有请求中使用 HTTPS，杜绝 SSL 剥离攻击
- Cache-Control 决定浏览器和 CDN 如何缓存响应——正确的设置可显著缩短加载时间并降低服务器成本
常见问题
请求头和响应头有什么区别？
请求头由客户端（浏览器）发送给服务器，包含可接受的内容类型、身份验证令牌、浏览器标识等信息。响应头由服务器返回给客户端，包含内容类型、缓存指令、安全策略和状态信息。分析器聚焦于响应头，因为它们能揭示服务器的配置情况。
为什么安全头很重要？
Content-Security-Policy、X-Frame-Options、Strict-Transport-Security 等安全头可抵御跨站脚本、点击劫持、协议降级等常见 Web 攻击。若缺少它们，即便代码写得再好的应用也容易遭受客户端攻击。安全扫描器和合规审计都会检查这些头是否存在。
我可以分析任意网站的 HTTP 头吗？
分析器可检查任何可公开访问的 URL 的头信息。部分站点可能会拦截自动化请求，或根据客户端返回不同的头，但对大多数网站而言，你看到的响应头与浏览器接收到的一致。对于私有或 localhost 地址，你可以直接粘贴原始头文本。