HeaderScope

简介

单文件 Web 应用（index.html，无构建、无依赖、浏览器直接打开），定位： 把 HTTP 安全配置检查做成真正可用的审计工具。粘贴或导入脱敏后的 HTTP 响应头， 逐项审计响应头与 Cookie 安全配置，导出 Markdown / JSON 报告。 全程在浏览器本地运行：不发起任何网络请求、不上传数据。

核心功能

功能	说明
输入	粘贴原始 HTTP 报文 / DevTools 导出 / curl 抓包文本，或导入脱敏 .txt / .log 文件；自动识别头行并解析 Set-Cookie 属性
响应头检查	CSP、HSTS、MIME 类型保护（X-Content-Type-Options）、Referrer-Policy、Permissions-Policy、点击劫持防护（X-Frame-Options / frame-ancestors）
Cookie 检查	Secure、HttpOnly、SameSite 三属性逐 Cookie 判定
判定依据	每条发现给出适用条件 + 为什么这样判；含风险级别、建议配置（点击复制）与官方参考链接
上下文感知	填入站点 URL / 敏感 Cookie 名单后，HSTS、Cookie 检查的严格度随真实部署条件变化
报告导出	一键导出 Markdown / JSON（含生成时间、推断协议、Cookie 明细、全部发现）

差异化：不止打勾

HeaderScope 的核心不是「有没有 X-Frame-Options」，而是解释结果在什么条件下成立：

• HSTS：结论强依赖是否已启用 HTTPS。站点为 HTTP 时 HSTS 不适用；已 HTTPS 却未下发才判为高危缺口。
• CSP：'unsafe-inline'、通配符来源会让「有 CSP」名存实亡；frame-ancestors 白名单过宽同样告警。
• Cookie：是否承载会话决定严重度。会话 Cookie 缺 HttpOnly / Secure 才升级为高危。

使用方式

1. 浏览器打开在线入口（或本地 index.html）。
2. 粘贴脱敏响应头，或点「🧪 载入示例」看一个含会话 Cookie 的 HTTPS 样例。
3. 可选：填「⚙️ 部署上下文」（站点 URL、敏感 Cookie 名称）让判定贴合实际。
4. 「▶️ 开始审计」→ 按风险排序查看发现，用筛选 chips 只看未达标项。
5. 「📄 导出 Markdown」/「🧩 导出 JSON」归档报告。

快捷键：在输入框内 Ctrl / Cmd + Enter 快速审计。

边界与说明

• 本工具不做任意目标自动扫描、不发任何出站请求。当前版本完全离线。
• 结果基于静态响应头推断，不能替代针对真实站点的完整安全评估； CSP / HSTS 是否「达标」需结合实际脚本来源与部署环境人工复核。

本地使用

单文件 HeaderScope/index.html（内联 CSS / JS），file:// 直开即用：

1. 下载 index.html，浏览器直接打开即可运行，无需安装、无需网络。
2. 内网部署：拷到内网任意目录，浏览器访问。
3. 状态为会话内存对象（刷新即清）；仅主题偏好走 localStorage（headerscope-theme）。