helmet在fiber中需显式安装并调用app.use(helmet())启用，默认设置7个安全头，csp需按业务定制，hsts仅限https环境启用，可通过配置隐藏powered-by头避免指纹暴露。
确认Fiber应用已启用Helmet中间件
Helmet在Fiber中不是内置模块，必须显式安装并注册，否则所有安全头配置都不会生效。
运行npm install helmet安装依赖，然后在应用入口文件（如main.go或server.js）中引入并使用：app.Use(helmet())。这一步必须放在路由注册之前，否则中间件无法拦截响应。
基础安全头一键启用
调用helmet()不带参数即可启用默认策略，它会自动设置X-Content-Type-Options、X-Frame-Options、X-XSS-Protection等7个常用头。
默认配置对多数静态站点足够，但会禁用内嵌iframe（X-Frame-Options: DENY），若你的页面需被可信管理后台嵌入，此设置将导致白屏。
按业务定制CSP策略
CSP是防御XSS最有效的机制，但直接套用default-src 'self'极易引发资源加载失败——字体、CDN图片、统计脚本全被拦截。
方法一：允许当前域名及指定CDN
helmet.contentSecurityPolicy({ directives: { defaultSrc: ["'self'"], scriptSrc: ["'self'", "'unsafe-inline'", "https://cdn.jsdelivr.net"], imgSrc: ["'self'", "data:", "https:"], } })
方法二：仅对API接口关闭CSP（如/v1/*路径）
先注册全局Helmet，再对特定路由组禁用：api := app.Group("/v1"); api.Use(helmet.New(helmet.Config{Disabled: true}))
【注意】scriptSrc中含'unsafe-inline'仅限调试期临时使用，上线前必须移除或替换为nonce值
HTTPS环境强制启用HSTS
Strict-Transport-Security头只应在真实HTTPS部署中启用，HTTP环境下设置会导致浏览器拒绝后续任何HTTP访问。
第一步：确认反向代理（如Nginx/Apache）已终止TLS并透传X-Forwarded-Proto头
第二步：在Helmet配置中加入helmet.hsts({ maxAge: 31536000, includeSubDomains: true, preload: true })
第三步：确保前端所有跳转链接、表单action、fetch请求都使用相对协议或https://开头，否则HSTS生效后将触发混合内容阻断
禁用不必要头避免指纹暴露
Fiber默认返回Server: Fiber头，暴露技术栈细节，攻击者可针对性利用已知框架漏洞。
在helmet()调用中传入配置对象：helmet({ hidePoweredBy: { setTo: "PHP/8.2" } })可伪造标识，或直接设hidePoweredBy: true彻底移除该头。
若后端已由Apache/Nginx统一注入X-Frame-Options，则Fiber层重复设置会产生冲突，浏览器以最后一个为准——务必检查响应头实际输出结果。
