信任、安全与合规

HSTS 预加载

Strict-Transport-Security 与 preload 指令。浏览器仅以 HTTPS 连接 KiwiBee。

跨源策略

跨源策略限制访问，同时允许登录弹出窗口。

权限策略（Permissions Policy）

默认限制浏览器权限。部分课堂工具可请求麦克风访问。

防点击劫持

X-Frame-Options: SAMEORIGIN 阻止外部站点把 KiwiBee 嵌入 iframe。

MIME 类型锁定

X-Content-Type-Options: nosniff 阻止浏览器自行猜测内容类型。

Referrer 策略

Referrer-Policy: strict-origin-when-cross-origin 减少向第三方域名泄漏的数据。

内容安全策略（CSP）

内容安全策略限制资源来源；获准的内联脚本和样式仍可运行。