初始化项目：基础设施 + 用户认证 + 后台管理系统 + AGPL 3.0 许可

internal/middleware/security.go

@@ -0,0 +1,26 @@
+package middleware
+
+import (
+	"github.com/gin-gonic/gin"
+)
+
+// SecurityHeaders 添加安全相关 HTTP 响应头
+// 作为纵深防御，不影响业务逻辑，纯附加
+func SecurityHeaders() gin.HandlerFunc {
+	return func(c *gin.Context) {
+		// Content-Security-Policy：仅允许本站资源 + 内联样式/脚本
+		c.Header("Content-Security-Policy",
+			"default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'")
+
+		// 禁止 MIME 类型嗅探
+		c.Header("X-Content-Type-Options", "nosniff")
+
+		// 禁止被 frame 嵌入（防点击劫持）
+		c.Header("X-Frame-Options", "DENY")
+
+		// 引用策略
+		c.Header("Referrer-Policy", "strict-origin-when-cross-origin")
+
+		c.Next()
+	}
+}