SSL签名挂上（《SSLLabs冲A+：Mozilla配置生成器抄作业，HSTS加TLS1.3一步到位》的A+只解决传输加密），浏览器安全报告里还有一排黄灯：缺少Content-Security-Policy、未设置X-Frame-Options、Referrer-Policy未定义。这些安全响应头管的是另一类威胁：不是“传输路上被偷”，而是“页面被别人利用”——被嵌入钓鱼页、被注入的脚本带走数据