必须用fiber.new()初始化应用并手动挂载安全中间件，因fiber.default()默认启用logger、recover、requestid，导致敏感信息泄露、堆栈暴露及性能下降，且helmet.new()仅设基础响应头，csp、csrf、cors等需显式配置。
fiber.New() 是 helmet 配置的前提，fiber.Default() 会绕过所有安全控制
直接用 fiber.Default() 启动服务再挂载 helmet.New()，等于没配——因为 fiber.Default() 默认启用了 Logger（输出完整 Authorization 头）、Recover（暴露 panic 堆栈）、RequestID（无采样直写），这些行为本身就在破坏安全前提。
必须从 fiber.New() 创建空实例开始：
-
app := fiber.New()—— 不带任何默认中间件 - 所有安全中间件（
helmet.New()、cors.New()、csurf.New()）都手动注册，顺序无关，但必须在路由注册前完成 - 开发阶段可临时用
fiber.Default()快速验证逻辑，上线前必须切换
helmet.New() 只设基础头，CSP/CSRF/X-Frame-Options 都要显式配置
helmet.New() 默认只设置 X-Content-Type-Options: nosniff、X-Frame-Options: SAMEORIGIN、X-XSS-Protection: 0 等 5–6 个低风险头，它不处理 CSP、不校验 Referer、不生成 CSRF Token。以为开了 helmet 就防 XSS/CSRF，是线上事故高发原因。
关键配置项必须显式传入：
- CSP 策略必须通过
ContentSecurityPolicy字段指定，例如：helmet.Config{ContentSecurityPolicy: "default-src 'self'; script-src 'self' 'unsafe-inline'"} -
X-Frame-Options: DENY对现代应用太粗暴；若需嵌入 iframe，得换用Content-Security-Policy: frame-ancestors 'none'并显式配置 - Referrer-Policy、Strict-Transport-Security 等字段也需按需开启，不能依赖默认值
CORS 白名单不等于 helmet 配置，origin 必须精确匹配协议+端口+路径
helmet.New() 和 cors.New() 是两个独立中间件，常被混为一谈。CORS 控制跨域请求是否被浏览器放行，而 helmet 只管响应头。生产环境 cors.New() 的 AllowOrigins 绝不能写 "*"，尤其当 AllowCredentials: true 时，Fiber 会直接跳过整个中间件（无报错、无声无息）。
白名单失效的典型场景：
- 前端请求
Origin: https://a.com:8080，白名单只写了https://a.com→ 拒绝 - 前端路径带尾部斜杠（
https://a.com/），白名单写成https://a.com→ 拒绝（StrictRouting不影响 CORS 校验） - 多租户子域名场景，别用
AllowOriginsFunc直接返回true，应解析c.Hostname()后做白名单校验
CSRF 防护必须搭配 csurf.New()，且令牌需绑定会话 + HttpOnly Cookie
helmet.New() 完全不提供 CSRF 防护能力。Fiber 的 CSRF 中间件是 csurf.New()，它有两种模式：
- 双提交 Cookie 模式（无会话存储时默认启用）：令牌存在内存 + Cookie，客户端需在
X-Csrf-Token头回传 - 同步令牌模式（配置会话后自动启用）：令牌存服务器端会话，更安全，但必须确保
csurf.New()在会话中间件之后注册
关键约束：
- POST/PUT/DELETE 路由必须走
csurf.New()，静态资源（如/public/*）应跳过 - 下发的 CSRF Cookie 必须设
HttpOnly: true、SameSite: Strict，禁用 GET 请求修改状态 - 不要把 CSRF Token 放在 URL 或表单隐藏字段里传给前端 SPA，应通过 API 接口返回 JSON，由 JS 注入 header
真正难的不是写几行 helmet.New()，而是理解每个头背后的攻击面、浏览器策略和部署上下文。比如 CSP 为什么不能直接抄模板？因为你的 React/Vue 应用可能依赖内联脚本或第三方 CDN；比如为什么 X-Frame-Options 要换成 frame-ancestors？因为现代浏览器已弃用前者。这些细节不抠清楚，安全中间件就只是个摆设。
