HTTP Header 分析器

使用方法

1. 将原始 HTTP 头部粘贴到文本框，首行可以是状态行或方法行。
2. 点击分析。工具自动识别请求 / 响应，并按类别分组展示。
3. 在分类、原文、JSON 三个标签之间切换视图。
4. 留意安全头部下的提示——配置错误显示警告，加固建议显示备注。
5. 复制 JSON导出结构化结果，便于后续自动化处理。

示例：带安全头的响应

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
Content-Security-Policy: default-src 'self'; script-src 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Cache-Control: no-store
Set-Cookie: session=abc123; HttpOnly; Secure; SameSite=Strict; Path=/

分析器把 Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、Referrer-Policy 归入安全类；Cache-Control 落入缓存，Content-Type 落入内容，Set-Cookie 落入 Cookie。每张卡片含一行说明与若干提示——例如 Set-Cookie 缺少 HttpOnly 时会触发警告。

示例：CORS 预检

OPTIONS /api/v1/orders HTTP/1.1
Host: api.example.com
Origin: https://app.example.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: Authorization, Content-Type

识别为请求。Access-Control-Request-* 是预检标志，分析器突出显示 Origin，并列出请求的方法与头部。配合响应端使用，可端到端定位 CORS 握手问题。

类别一览

• 状态行 — 首行（状态行或方法行）。
• 安全 — HSTS、CSP、X-Frame-Options、COOP/COEP/CORP、Permissions-Policy、Fetch metadata。
• 缓存 — Cache-Control、ETag、Vary、Expires、Last-Modified、条件请求头。
• 内容 — Content-Type、Content-Encoding、Accept-*、Content-Disposition。
• CORS — Access-Control-* 与 Origin。
• 鉴权 — Authorization、WWW-Authenticate、Proxy-Authenticate。
• Cookie — Cookie 与 Set-Cookie。
• 传输 / 范围 / 代理 / 通用 / 自定义 — 其他类别；X-* 未知头部归入自定义。

合规提示规则

提示保守，只标出明显的配置错误，不做主观风格点评。例如：

• HSTS max-age 小于 1 年，或缺少 includeSubDomains / preload。
• CSP 含 ‘unsafe-inline’ 或 ‘unsafe-eval’。
• Set-Cookie 缺少 HttpOnly 或 Secure。
• Access-Control-Allow-Credentials: true 配 * 通配 Origin（规范禁止）。
• Cache-Control 同时含 no-store 与 max-age（max-age 实际无效）。

相关工具

• Cookie 字符串解析器 — 把 Cookie / Set-Cookie 拆成名值与标志表。
• CSP 头部生成器 — 从零构建严格的 Content-Security-Policy。
• HAR 文件分析器 — 可视化 DevTools 的请求瀑布。
• HTTP 状态码大全 — 1xx–5xx 全量参考。