HTTP 响应头检测工具
获取任意公开 URL 的 HTTP 状态和响应头，并检查 HSTS、CSP、X-Frame-Options、nosniff 等安全响应头。
未写协议时会自动加上 https://。
什么是 HTTP 响应头检测？
这个工具会请求一个 URL，并显示状态行和服务器返回的每个响应头，类似 curl -I，只是在浏览器中使用。它会跟随重定向，然后针对最终响应评估常见的安全响应头：HSTS、Content-Security-Policy、X-Content-Type-Options、防嵌入保护、Referrer-Policy、Permissions-Policy 和 X-Powered-By。
如何使用 HTTP 响应头检测
- 输入公开的 URL；如果省略协议，会自动补上 https://。
- 点击“检测”。
- 查看最终状态码、跟随的重定向次数和完整的响应头列表。
- 查看表格下方的安全响应头清单，需要时复制原始响应头。
何时使用 HTTP 响应头检测
适合在部署之后验证缓存、压缩、CORS 或安全响应头，或查看 CDN 添加了什么。请求来自 Cloudflare 数据中心，使用通用的 User-Agent，因此按地区定向、有机器人防护或需要登录的响应可能与你看到的不同；内网 URL 请在自己的机器上使用 curl。
HTTP 响应头检测 的工作原理
浏览器不允许读取其他站点的响应头，因此请求由 AlgoKit 的 Cloudflare Pages Function（/api/fetch-meta）发出。它会校验 URL（仅限 http/https，不允许带凭据），通过 DNS-over-HTTPS 解析主机，并拒绝私有、环回、链路本地、CGNAT 和云元数据地址，然后发送不带 Cookie 的 GET 请求，手动跟随最多 10 次重定向，总超时 8 秒。只返回状态码、响应头和少量提取出的 HTML 字段；Set-Cookie 中的 Cookie 值会被隐去。安全检查则在你的浏览器中基于返回的响应头运行。
常见用例
- 确认生产环境已设置 Strict-Transport-Security 和 Content-Security-Policy。
- 检查静态资源上的 Cache-Control 和 ETag 响应头。
- 查看站点透露了哪种服务器、CDN 或框架。
- 在查看响应头之前，先确认重定向最终落在正确的 URL。
安全提示
你输入的 URL 会由 AlgoKit 的服务器获取。请不要检测查询字符串中包含密钥或一次性令牌的 URL。
常见问题
为什么我的浏览器不能自己读取这些响应头？
同源策略只会向 JavaScript 暴露跨源响应中少数 CORS 安全列表内的响应头，而且前提是服务器允许。服务端发起的请求则可以看到所有响应头。
页面内容会被保存吗？
不会。该函数最多读取 512 KB 的 HTML，仅用于提取相关工具使用的元数据，不会记录或保留任何内容。
为什么我的内部 URL 被拒绝？
为防止服务端请求伪造（SSRF），私有和本地地址（10.x、192.168.x、localhost、*.local、元数据 IP）都会被拦截，包括解析到这些地址的域名。