curl检查Nginx安全响应头命令详解：一站式掌握网站安全检测的命令行艺术

为什么要用curl检查安全响应头

安全响应头是网站防御XSS、点击劫持、中间人攻击的第一道防线。很多站长配置了Nginx安全响应头，却不知道是否生效。curl作为命令行利器，能帮你快速验证配置是否正确，无需打开浏览器，适合服务器运维和CI/CD自动化检测。

curl查看HTTP响应头基础命令

最基础的用法是curl -I，只获取响应头，不下载正文：

curl -I https://www.youres.cn

输出示例：

HTTP/2 200 
server: nginx
date: Sun, 24 May 2026 13:00:00 GMT
content-type: text/html; charset=utf-8
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
strict-transport-security: max-age=31536000; includeSubDomains; preload
content-security-policy: default-src 'self'

必须掌握的curl参数详解

• -I（大写i）：只显示响应头，不下载页面内容，速度最快
• -i（小写i）：显示响应头+正文，调试时有用
• -H：添加自定义请求头，比如测试不同User-Agent的响应
• -L：跟随重定向，防止HTTPS跳转后漏看头信息
• -k：忽略证书错误，测试自签名证书站点时使用
• -v：verbose模式，显示完整请求/响应过程
• -D -：将响应头输出到stdout，方便grep过滤

实战：精确提取指定响应头

用grep配合curl，只提取你关心的安全头：

# 检查HSTS头
curl -I -L https://www.youres.cn 2>/dev/null | grep -i strict-transport-security

# 检查所有安全相关响应头
curl -I -L https://www.youres.cn 2>/dev/null | grep -iE 'strict-transport-security|x-frame-options|x-content-type|content-security|referrer|permissions'

# 用-D参数更精确
curl -s -D - -o /dev/null https://www.youres.cn | grep -i strict-transport-security

关键安全响应头解读

Strict-Transport-Security（HSTS）

强制客户端使用HTTPS连接。正确配置示例：

strict-transport-security: max-age=31536000; includeSubDomains; preload

如果没看到这个头，说明Nginx配置里add_header Strict-Transport-Security没生效，或者放在了错误的location块里。

X-Frame-Options

防点击劫持。推荐值：DENY 或 SAMEORIGIN。如果返回ALLOW-FROM已被废弃，应改用CSP的frame-ancestors指令。

Content-Security-Policy（CSP）

防XSS攻击的核心响应头。用curl检查CSP是否配置合理：

curl -I https://www.youres.cn 2>/dev/null | grep -i content-security-policy

如果返回content-security-policy: default-src 'self'说明配置较严格，外部资源会被拦截。

X-Content-Type-Options

防止MIME类型嗅探，必须设为nosniff。没看到这个头说明配置有遗漏。

批量检测多个站点脚本

写个简单bash脚本，批量检查多个域名的安全响应头：

#!/bin/bash
domains=("https://www.youres.cn" "https://example.com" "https://test.com")
for url in ""; do
  echo "===  ==="
  curl -s -I -L "" | grep -iE 'strict-transport-security|x-frame-options|x-content-type|content-security|referrer'
  echo ""
done

Windows用户如何用PowerShell检测

没有bash环境也能用PowerShell：

="https://www.youres.cn"
=Invoke-WebRequest -Uri  -Method Head -UseBasicParsing
.Headers

或者直接用curl（Windows 10+自带）：

curl.exe -I https://www.youres.cn

常见坑：为什么curl看到的和浏览器不一样

• CDN缓存：curl直接请求源站，浏览器可能走CDN缓存，结果不一致
• HTTPS跳转：没加-L参数，curl停在301响应，看不到最终的安全头
• add_header继承规则：Nginx的add_header在同一层级会被覆盖，curl看到的可能只是外层配置
• HTTP/2：curl默认走HTTP/2，某些老版本Nginx的HTTP/2配置可能和HTTP/1.1不同

curl -I https://www.youres.cn 2>/dev/null | grep -i report-only