feat: 帖子分级置顶（板块/全站）与板块管理员置顶权限、消息管理权限调整

backend/middleware/security.go

@@ -5,8 +5,9 @@ import (
 )
 
 // SecurityHeaders 安全响应头中间件
-// 为所有响应添加安全头，降低 XSS、点击劫持、MIME 嗅探等风险
-func SecurityHeaders() gin.HandlerFunc {
+// 为所有响应添加安全头，降低 XSS、点击劫持、MIME 嗅探等风险。
+// secure=true 时额外下发 HSTS（仅 HTTPS origin 合法，HTTP 环境发 HSTS 属于误导）。
+func SecurityHeaders(secure bool) gin.HandlerFunc {
 	return func(c *gin.Context) {
 		// CSP：限制资源加载来源，降低 XSS 危害
 		c.Header("Content-Security-Policy",
@@ -20,8 +21,10 @@ func SecurityHeaders() gin.HandlerFunc {
 				"base-uri 'self'; "+
 				"form-action 'self'")
 
-		// HSTS：强制 HTTPS（生产环境生效，dev 模式浏览器会忽略）
-		c.Header("Strict-Transport-Security", "max-age=31536000; includeSubDomains; preload")
+		// HSTS：仅 HTTPS origin 下发。HTTP 响应发 HSTS 是无效且误导的。
+		if secure {
+			c.Header("Strict-Transport-Security", "max-age=31536000; includeSubDomains; preload")
+		}
 
 		// 点击劫持防护
 		c.Header("X-Frame-Options", "DENY")
@@ -32,9 +35,6 @@ func SecurityHeaders() gin.HandlerFunc {
 		// 控制 Referer 信息泄露
 		c.Header("Referrer-Policy", "strict-origin-when-cross-origin")
 
-		// 禁止浏览器缓存敏感页面（可按需覆盖）
-		// c.Header("Cache-Control", "no-store, no-cache, must-revalidate, max-age=0")
-
 		c.Next()
 	}
 }