⚠️ 本工具只解析你粘贴/导入的（脱敏）响应头文本，全程在浏览器本地运行，不发起任何网络请求、不上传数据。请仅对获得授权的资产执行安全审计，切勿把真实敏感响应头（含会话 Cookie 值）粘贴进来。
📥 输入响应头
粘贴或导入
支持原始 HTTP 报文、浏览器 DevTools 导出格式、curl 抓包等；会自动识别头行并解析 Cookie。脱敏后的文本即可。
⚙️ 部署上下文
影响判断结果
同一段响应头在不同部署条件下结论不同。填入实际部署信息，让审计结果贴合你的真实环境，而非机械打勾。
提示：HSTS、CSP、X-Content-Type-Options 等检查的结论会随「站点协议」与「是否承载敏感 Cookie」变化。留空则按通用默认判断。
📚 判定口径
为什么这样判
HeaderScope 不做「缺头就打红」。每项检查都会给出适用条件：例如站点未启用 HTTPS 时 HSTS 无意义、Cookie 不承载会话时 SameSite 缺失只是低优先级建议，而非高危。