Web & 认证

HTTP 头部解析器 - 在线分析和检查 HTTP 头部

免费在线 HTTP 头部解析工具。解析原始 HTTP 头部，检查键值对，并审查 CSP、HSTS、X-Frame-Options 等安全头部。

免费使用无需注册浏览器本地运行

原始 HTTP 头（每行一个）

解析后的头 (12)

Header	值	说明
Content-Type	application/json; charset=utf-8	表示资源的媒体类型（例如 JSON、HTML）。
Cache-Control	public, max-age=3600, s-maxage=7200	请求和响应中缓存机制使用的指令。
X-Frame-Options	DENY	安全：通过控制 iframe 嵌入来防止点击劫持。
Content-Security-Policy	default-src 'self'; script-src 'self' 'unsafe-inline'	安全：控制浏览器允许加载哪些资源。
Strict-Transport-Security	max-age=31536000; includeSubDomains; preload	安全：在指定时长内强制使用 HTTPS 连接。
X-Content-Type-Options	nosniff	安全：防止 MIME 类型嗅探攻击。
X-XSS-Protection	1; mode=block	安全：旧版浏览器使用的传统 XSS 过滤器。
Referrer-Policy	strict-origin-when-cross-origin	安全：控制请求中发送多少 referrer 信息。
Permissions-Policy	camera=(), microphone=(), geolocation=()	安全：控制页面可使用哪些浏览器功能。
Server	nginx/1.24.0	标识服务器软件。出于安全考虑可隐藏。
Date	Sat, 29 Mar 2026 12:00:00 GMT	生成响应的日期和时间。
ETag	"abc123"	用于缓存的资源特定版本标识符。

安全响应头检查

7/7 存在

✓

X-Frame-OptionsDENY

✓

Content-Security-Policydefault-src 'self'; script-src 'self' 'unsafe-inline'

✓

Strict-Transport-Securitymax-age=31536000; includeSubDomains; preload

✓

X-Content-Type-Optionsnosniff

✓

X-XSS-Protection1; mode=block

✓

Referrer-Policystrict-origin-when-cross-origin

✓

Permissions-Policycamera=(), microphone=(), geolocation=()

什么是 HTTP 头部解析器？

HTTP 头部解析器是一款将原始 HTTP 响应或请求头部分解为结构化键值对的工具，便于分析。HTTP 头部携带有关请求或响应的元数据——包括内容类型、缓存指令、身份验证令牌、安全策略和服务器信息。本工具会解析每一行头部，显示名称和值，提供常见头部的简要说明，并通过检查 Content-Security-Policy、Strict-Transport-Security、X-Frame-Options 等 OWASP 推荐的关键安全头部来执行安全审计。

如何使用 HTTP 头部解析器

1将原始 HTTP 头部粘贴到文本区域中，每行一个头部，格式为 'Header-Name: value'。默认提供了一组常见头部示例。
2工具会立即解析头部并以结构化表格显示头部名称、值和简要说明。
3向下滚动到安全头部检查部分，查看哪些推荐的安全头部存在（绿色勾号）或缺失（红色叉号）。
4安全评分徽章显示 7 个推荐安全头部中有多少个存在于您的响应中。
5在部署到生产环境之前，使用此工具审核服务器、API 或 CDN 的 HTTP 响应。