curl批量检测多个网站安全头脚本：一键巡检全网域名HTTPS安全配置

为什么要批量检测网站安全头

手里有十几个域名要维护，一个个用浏览器开发者工具看响应头，效率低到让人怀疑人生。写个curl脚本批量跑，半小时能巡检完上百个域名，还能生成报表，这才是运维该有的样子。

安全响应头（Security Headers）是网站HTTPS配置里最容易忽略、但也最容易出问题的一环。HSTS没配、CSP策略太松、X-Frame-Options缺失，这些看似小问题，累积起来就是安全风险。

curl检测单个域名安全头的基础命令

先搞清楚单域名怎么查，批量就是把这个逻辑套进循环里。核心参数就两个：-I 只拿响应头，-L 跟随重定向。

批量检测脚本思路（Bash版）

把域名写进 domains.txt，每行一个，核心逻辑是 while 循环逐行读取，对每个域名执行 curl，然后用 grep 检查关键安全头是否存在。

响应头字段	作用
Strict-Transport-Security	强制HTTPS，防止降级攻击
Content-Security-Policy	防止XSS跨站脚本
X-Frame-Options	防止点击劫持
X-Content-Type-Options	防止MIME嗅探
Referrer-Policy	控制Referer泄露

Windows PowerShell版本要点

服务器是纯Windows环境、没有WSL的场景下，用PowerShell的 Invoke-WebRequest -Method Head 可以实现同样功能。关键是 -UseBasicParsing 参数和 .Headers 取头信息的方式。

检测结果优先级：哪些问题先修

安全头	优先级	不配的后果
Strict-Transport-Security (HSTS)	高	中间人攻击风险
X-Frame-Options	高	点击劫持
Content-Security-Policy (CSP)	中	XSS跨站脚本攻击
X-Content-Type-Options	中	MIME类型嗅探攻击
Referrer-Policy	低	Referer头泄露敏感参数

定时任务：每周自动巡检

把脚本挂到cron里，每周一早上自动跑。进阶做法：把检测结果推送到企业微信或钉钉群，有问题才会收到通知。

相关文章

• curl检查Nginx安全响应头命令详解
• curl查看HTTP响应头所有字段：从入门到精通
• Nginx安全响应头检查工具推荐