#!/usr/bin/env bash
D="${1:?用法: ./check.sh example.com}"
echo "════ 体检 $D ════"

echo "── 指纹泄露（应为空）──"
curl -sSI "https://$D/" | grep -iE "^server:|x-powered-by:" || echo "  ✓ 干净"

echo "── 安全响应头 ──"
for h in strict-transport-security x-content-type-options x-frame-options \
         referrer-policy content-security-policy; do
  v=$(curl -sSI "https://$D/" | grep -i "^$h:" | head -1)
  [ -n "$v" ] && echo "  ✓ $v" || echo "  ✗ 缺失: $h"
done

echo "── 404 页是否也带头（验证 always）──"
n=$(curl -sSI "https://$D/__nope__" | grep -icE "strict-transport|x-frame|nosniff")
[ "$n" -ge 2 ] && echo "  ✓ 带了 $n 个" || echo "  ✗ 只有 $n 个，检查 always 与 add_header 覆盖"

echo "── 敏感文件（应为 404）──"
for p in .env .git/config .git/HEAD config.json backup.sql; do
  c=$(curl -s -o /dev/null -w "%{http_code}" "https://$D/$p")
  [ "$c" = "200" ] && echo "  ✗✗ 严重: /$p 返回 200" || echo "  ✓ /$p → $c"
done

echo "── 未知 Host（应被拒）──"
curl -sI "https://$D/" -H "Host: invalid.test" 2>/dev/null | head -1 || echo "  ✓ 连接被拒"

echo "── TLS ──"
echo | openssl s_client -connect "$D:443" -servername "$D" 2>/dev/null \
  | grep -E "Protocol|Cipher|Verify return code"
echo | openssl s_client -connect "$D:443" -servername "$D" 2>/dev/null \
  | openssl x509 -noout -dates

echo "── DNS ──"
echo "  CAA:   $(dig +short CAA "$D" | tr '\n' ' ')"
echo "  DS:    $(dig +short DS "$D" | head -1)"
echo "  SPF:   $(dig +short TXT "$D" | grep -i spf)"
echo "  DMARC: $(dig +short TXT "_dmarc.$D")"

只在你自己拥有的域名上运行。

最后：三条比清单更重要的话

一、清单会过期，思路不会。 新的攻击手法会不断出现，但「数据不要变成代码」「默认拒绝」「假设这一层会失守」这些原则不变。理解为什么，比记住做什么更耐用。

二、先做最薄的那一环。 安全水平由最弱的一环决定。给一个域名没开 2FA 的站上顶配 WAF，是把钱花在了已经很厚的地方。先按威胁建模那章的方法找出最薄处。

三、改完一定要验证。 「我配了那个头」和「那个头确实出现在线上响应里」之间，隔着 CDN 缓存、add_header 覆盖、配置没 reload 一堆现实。本专栏每章都给了验证命令，请真的跑一遍。

回到开头

专栏第一章说过：攻击者不会先想「我要打 XSS」，他会沿着请求的路径，从最松的那一层进来。

现在你手上有了这条路径的完整地图——域名、边缘、Nginx、前端、后端、依赖、架构。每一层都知道会出什么问题、长什么样、怎么验证。

剩下的就是动手了。

← 回到：专栏首页 · 相关：Nginx 详解 · HTTP/1.1 详解

28. 应急响应

本页目录

上线安全检查清单第一档：今天就做（1~2 小时，挡住绝大多数自动化攻击）域名与账号暴露面响应头（几行配置，收益最大）凭据会话第二档：这周做认证与授权输入与输出依赖与容器可观测第三档：有余力再做一段可以直接跑的外部体检最后：三条比清单更重要的话回到开头