信任、安全与合规

HSTS preload

Strict-Transport-Security 与 preload 指令。浏览器仅以 HTTPS 连接 KiwiBee。

跨源隔离

Cross-Origin-Opener-Policy: same-origin 与 Cross-Origin-Resource-Policy: same-origin 阻挡跨窗口攻击。

Permissions Policy

相机、麦克风、地理位置、支付、USB 及 interest-cohort API 全部在浏览器层被封锁。

防点击劫持

X-Frame-Options: SAMEORIGIN 阻止外部站点把 KiwiBee 嵌入 iframe。

MIME 类型锁定

X-Content-Type-Options: nosniff 阻止浏览器自行猜测内容类型。

Referrer 策略

Referrer-Policy: strict-origin-when-cross-origin 减少向第三方域名泄漏的数据。

Content Security Policy

CSP 由中间件执行，使用每个请求的 nonce — 没有 nonce 的 inline 脚本不会执行。