HongHub / Web Baseline
网站安全基线报告 · 样本
范围1 域名 / 10 页
方式被动基线
问题6
结论可上线，建议补 4 项
结论：可上线，建议补 4 项。 未发现 P1 阻断；2 个 P2 建议上线前修，2 个 P3、2 个 P4 可排期。样本数据，仅展示报告结构。
01 / 检查范围
首页 + 9 个内页；未登录、未提交表单、未做主动攻击；只读取公开响应。
02 / 问题清单
| 级别 | 问题 | 证据 | 建议 |
|---|---|---|---|
| P2 | 缺少 Content-Security-Policy | 响应头无 CSP | 先 report-only，再逐步收紧 |
| P2 | 会话 Cookie 缺 SameSite | Set-Cookie 无 SameSite | SameSite=Lax/Strict |
| P3 | 缺少 HSTS | 仅 HTTP→HTTPS 跳转 | 加 HSTS，确认全站 HTTPS |
| P3 | Server 版本暴露 | Server: nginx/1.x | 隐藏版本号 |
| P4 | robots.txt 暴露后台路径 | /admin 出现在 robots | 移除敏感路径 |
| P4 | 错误页含框架信息 | 404 页含框架名 | 统一错误页 |
03 / 上线建议
- 上线前：补 CSP（report-only）、Cookie SameSite；
- 上线后一周：HSTS、隐藏 Server 版本；
- 复测：修复后重跑 1 次，确认 P2 清零。
04 / 边界
本报告只做被动基线，不包含登录后测试、主动扫描、渗透测试、业务逻辑、支付/权限绕过；不构成安全担保或等保结论。样本已脱敏。
HongHub 项目护航 · 网站安全基线 · honghub.cloud/scan/web/ · 样本报告