上线前的安全扫描给出若干中低风险项，都是缺少安全响应头。第一次遇到会往复杂处想，其实漏掉的多是个小前提。
add_header X-Content-Type-Options nosniff; add_header Referrer-Policy strict-origin-when-cross-origin; add_header X-Frame-Options SAMEORIGIN;
Web 服务没有统一输出安全相关头部，浏览器默认策略较宽松。这一点先确认清楚，后面就不用反复试。
「安全响应头」这个问题文档写得含糊，实际行为以当前版本为准，别照旧版本的结论套。新版本先放一台机器上跑一天再全量，问题一般在这段时间暴露。
备份不是备了就行，恢复一次才算数，很多备份文件打开才发现是空的。接口问题先分清是没发出去、发出去了没收到，还是收到了处理失败。
偶发问题先统计频率，一小时几次和一天一次，查法完全不同。改完顺手把文档补一句，省得下次自己重新推一遍。
监控和日志的时间要对上，时区不一致会多绕很大一圈。
具体做法是，统一在服务层添加；按路径调整策略；验证不影响现有功能。
改完照着核一遍，扫描不再报告相关项，页面功能正常。