helmet.new()仅默认配置x-content-type-options、x-frame-options、x-xss-protection、strict-transport-security等5–6个基础头，不包含csp、csrf、referrer-policy及origin校验，无法替代全栈防护。
直接用 helmet.New() 不等于安全——它只设基础头，CSP、CSRF、动态 Origin 校验全得手动补，生产环境裸奔风险极高。
helmet.New() 只配了哪些头？为什么不能当“全栈防护”用
默认启用的只有 X-Content-Type-Options、X-Frame-Options、X-XSS-Protection、Strict-Transport-Security 等 5–6 个基础头，不包含：
-
Content-Security-Policy（CSP）：默认完全不设，XSS 防御形同虚设 -
Referrer-Policy：不显式配置时走浏览器默认策略，可能泄露敏感路径 - CSRF 相关头（如
X-Csrf-Token）：Fiber 的helmet中间件根本不处理 CSRF - Origin 校验或凭据兼容逻辑：CORS 白名单、
Access-Control-Allow-Credentials等需另配cors.New()
也就是说，helmet.New() 只是“安全头启动器”，不是“安全方案打包器”。
ContentSecurityPolicy 必须显式传入，否则 CSP 头根本不会发
Fiber 的 helmet.Config 中 ContentSecurityPolicy 字段为空字符串时，中间件会跳过设置该头——不会 fallback 到默认值，也不会报错。
- 正确写法：
helmet.New(helmet.Config{ContentSecurityPolicy: "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'"}) - React/Vue 类 SPA 必须保留
'unsafe-inline'（否则内联样式/脚本被拒），但要配合 nonce 或 hash 做细粒度控制 - 若用 CDN 加载资源（如
cdn.jsdelivr.net），必须显式加进对应 directive，漏一项就触发 CSP 违规 - 开发期可先设
report-uri收集违规日志：ContentSecurityPolicy: "default-src 'self'; report-uri /csp-report"，再逐步收紧
CORS 和 helmet 不能混用同一个 origin 白名单逻辑
helmet 不管跨域，cors 中间件才管。但两者配置容易冲突：
-
cors.New(cors.Config{AllowOrigins: []string{"https://a.com"}})要求前端请求的Origin字符串**完全匹配**，协议、端口、尾部斜杠缺一不可 - 如果前端发的是
https://a.com:8080，白名单只写https://a.com→ 浏览器直接拦截，不发预检请求 - 多子域名场景（如
user1.app.com、user2.app.com）别用AllowOriginsFunc: func(origin string) bool { return true }，应解析c.Host后做子域白名单校验 -
helmet的frame-ancestors若设为'none'，和cors.AllowCredentials: true共存时，需确保 iframe 嵌入方也在 CORS 白名单里，否则页面加载失败
生产环境必须用 fiber.New() + 手动挂载，fiber.Default() 是高危默认值
fiber.Default() 自动启用了 logger（打明文 Authorization）、recover（暴露 panic 堆栈）、requestid（无采样直写），这些在生产环境等同于把钥匙挂在门把手上。
- 正确姿势：
app := fiber.New()创建空实例，再按需注册helmet.New()、cors.New()、csurf.New() -
helmet应放在cors之后、路由之前，确保所有响应都带安全头 - 静态资源路由（如
/assets/*）可跳过helmet，但 CSP 中的img-src、font-src仍需覆盖这些路径的资源来源 - 若用 Redis 做限流或会话，
csurf的同步令牌模式必须绑定同一套存储，否则 Token 验证永远失败
真正难的不是加中间件，而是厘清每个头的生效边界：CSP 控制资源加载、CORS 控制跨域请求、CSRF 控制状态修改、helmet 只负责发头——它们各自独立，又必须协同。漏配一个，整条链就断在最脆弱的环节。
