输入
输出
摘要
结果
| 指标 | 值 |
|---|---|
| No data yet | |
标头明细
结果
| 标头 | 类别 | 值 | 说明 |
|---|---|---|---|
| No data yet | |||
JSON 导出
JSON
这对您有帮助吗？
使用此工具的更多方式
REST API
curl -X POST https://api.iotools.cloud/v1/tool/http-header-analyzer \
-H "Authorization: Bearer YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"headersInput": "HTTP/1.1 200 OK\nDate: Fri, 20 Mar 2026 08:15:30 …"
}'替换成您账户中的密钥。工具的字段即为请求体——没有额外包装。
让 AI 代理执行
Use the IOTools `http-header-analyzer` tool (HTTP Header Analyzer) on this input:
YOUR_INPUT_HERE将此粘贴给任何已连接 IOTools MCP 服务器的代理,再加上您的输入内容。
嵌入式小组件
<iframe
src="https://iotools.cloud/embed/http-header-analyzer/"
width="100%" height="520" frameborder="0" scrolling="no" loading="lazy"
title="HTTP 标头分析器 — iotools.cloud"
sandbox="allow-scripts allow-forms allow-same-origin allow-downloads allow-popups allow-popups-to-escape-sandbox"
allow="clipboard-write"
style="width:100%;border:1px solid #e5e7eb;border-radius:12px;overflow:hidden"></iframe>
<script src="https://iotools.cloud/embed.js" async></script>把它放到您自己的页面上——免费,无需密钥,只需保留一个反向链接。
| 每次 API/MCP 调用费用 | 5 积分起 |
|---|---|
| 需要更多积分? | 查看定价 |
也可通过
使用指南
每个 HTTP 请求和响应都带有一组标头，用于控制缓存、安全性、跨源访问以及如何解释响应体。但逐个阅读这些标头十分繁琐，而且很容易忽略本应存在却缺失的安全标头。HTTP 标头分析器会解析您粘贴的原始标头块，并将其整理为分类明细：显示有哪些标头、各自的作用，以及缺少了哪些常见的安全标头。
它适用于排查缓存问题、审计网站安全配置、检查 CORS 请求失败的原因，或者只是想弄清服务器返回了什么内容的人。
使用方法
- 获取您要检查的标头：可以从浏览器的 Network 面板中获取（右键点击请求 → Copy → Copy request/response headers），也可以使用
curl -I或curl -sD -，或者来自任何原始 HTTP 跟踪记录。 - 将标头块粘贴到输入框中。开头可选的状态行（
HTTP/1.1 200 OK、HTTP/2 200）或请求行（GET /path HTTP/1.1）会被识别并跳过；其他每一行都按标头名: 值的格式解析。 - 分析结果会随您的输入实时更新。
输出分为三个部分：
- 摘要 — 状态行（如果有）、标头总数、各类别的数量、自定义/非标准标头的数量，以及缺失的常见安全标头列表。
- 标头明细 — 每个解析出的标头，包括其类别和一行作用说明。
- JSON 导出 — 以结构化 JSON 呈现的相同分析结果（标头、每个标头的类别和说明，以及摘要），可直接复制或下载。
标头名称的匹配不区分大小写。可以合法重复出现的标头（最常见的是 Set-Cookie）会与其全部值保持在一起，而不会被合并为一条。
标头是如何分类的？
- 安全 —
Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、Permissions-Policy，以及其他增强浏览器响应处理的相关标头。 - 缓存 —
Cache-Control、Expires、ETag、Last-Modified、Vary、Age以及条件请求标头。 - CORS —
Access-Control-*系列标头以及Origin。 - 内容 —
Content-Type、Content-Encoding、Content-Length以及其他描述响应体本身的标头。 - 自定义 — 其他所有标头，包括非标准的
X-*标头、用于标识服务器的标头（如Server、X-Powered-By）以及 Cookie。被归入此类并不代表有问题，只是说明它不属于上面四个标准分组。
会检查哪些安全标头？
摘要会标出 Strict-Transport-Security、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、Referrer-Policy 或 Permissions-Policy 中缺失的项。缺少标头不一定是错误，例如 JSON API 通常用不到 X-Frame-Options。但对于面向公众的 HTML 响应，这份列表是很实用的检查清单。
可以粘贴请求而不是响应吗？
可以。请求标头（Cookie、Authorization、Host、CORS 预检标头等）的解析和分类方式与响应标头相同。
这个工具会替我抓取 URL 吗？
不会。它只分析您粘贴的标头，从不发出任何网络请求，因此也可以用于分析无法公开访问的私有或内部服务的标头。
隐私
所有解析都完全在您的浏览器中进行。您粘贴的标头绝不会被上传、记录或发送到任何地方。
httpheaderssecurity-headerscachingcorsweb-development