Echo 默认不设安全头是因为它只负责路由分发，不承担安全责任；需手动添加或使用 middleware.Secure() 补全 X-Content-Type-Options、X-Frame-Options、X-XSS-Protection 和 Referrer-Policy 四类基础头。
为什么 Echo 默认不设安全头
Echo 启动后默认不带任何安全响应头，echo.New() 创建的实例等同于裸奔——X-Content-Type-Options、X-Frame-Options、Content-Security-Policy 全靠手动加。它只做路由分发，不替你担安全责任。
用 echo.MiddlewareSecure 一键补全基础头
官方 github.com/labstack/echo/v4/middleware 提供了 MiddlewareSecure，能自动注入四类关键头：
-
X-Content-Type-Options: nosniff：阻止浏览器 MIME 类型嗅探，防 .jpg 被当 HTML 执行 -
X-Frame-Options: DENY：禁用 iframe 嵌套，防点击劫持 -
X-XSS-Protection: 1; mode=block：仅作兼容层（现代浏览器已弃用），但部分旧 IE 仍依赖它 -
Referrer-Policy: no-referrer-when-downgrade：控制 Referer 字段泄露范围
用法很简单：e.Use(middleware.Secure())。注意它不会加 Content-Security-Policy 或 Strict-Transport-Security，这两个必须自己配。
Content-Security-Policy 必须按需手写
MiddlewareSecure 不设 CSP，因为策略高度业务相关。硬套 default-src 'self' 很可能直接让前端 JS/CSS 加载失败。
常见配置组合示例：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
e.Use(middleware.Secure())
e.Use(func(next echo.HandlerFunc) echo.HandlerFunc {
return func(c echo.Context) error {
c.Response().Header().Set("Content-Security-Policy",
"default-src 'self'; "+
"script-src 'self' 'unsafe-inline' https://cdn.jsdelivr.net; "+
"style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; "+
"img-src 'self' data: https:;")
return next(c)
}
})
关键点：
- 含
unsafe-inline是为了兼容 Vue/React 的内联事件或 style 标签，但应尽快迁移到 nonce 或 hash 方式 - 所有外部域名（如 CDN）必须显式列出，
https:不代表“任意 HTTPS 域名” - 开发环境可先设
report-uri收集违规日志，再逐步收紧
Strict-Transport-Security 只在 HTTPS 下生效且不可撤回
这个头一旦被浏览器接收，就会强制后续请求走 HTTPS，且无法通过清除缓存撤销。本地开发用 http://localhost 时绝对不能设它，否则会卡死调试。
正确做法是运行时判断 TLS 状态：
e.Use(func(next echo.HandlerFunc) echo.HandlerFunc {
return func(c echo.Context) error {
if c.Request().TLS != nil || strings.HasPrefix(c.Request().Host, "localhost:") {
// 生产环境 HTTPS 或本地开发（避免 HSTS 干扰）
c.Response().Header().Set("Strict-Transport-Security", "max-age=31536000; includeSubDomains")
}
return next(c)
}
})
注意：max-age=0 无法清除已生效的 HSTS 策略，只能等过期或手动清浏览器 HSTS 缓存。
真正容易被忽略的是：安全头只对响应体起作用，而攻击常从请求侧发起——比如 Referer 头里藏恶意 URL，或 User-Agent 注入 XSS payload。这些得靠参数校验、模板转义、CSRF Token 配合，单靠响应头拦不住。
