HTTP 缓存头审阅器

检查依赖钉选、冲突与可解析性。

根据 curl -I/-IL/-v、HAR 或粘贴的响应头，审查 HTTP 安全头配置缺口。

在不信任签名的前提下解码 JWT，并检查 header/claims：alg none、远程 jku/x5u、敏感声明等风险。

上线前模拟 API 限流：令牌桶、固定窗口、滑动日志与滑动窗口等策略对比。