安全加固：统一浏览器响应防护边界

nuxt.config.ts

@@ -14,6 +14,18 @@ export default defineNuxtConfig({
   // 恢复的源码使用显式 import，避免自动扫描带来同名组件或隐式依赖。
   components: false,
   imports: { autoImport: false },
+  // 由响应入口统一设置浏览器信任边界；不限制现有验证码、支付和远控的脚本/连接来源。
+  routeRules: {
+    "/**": {
+      headers: {
+        "X-Content-Type-Options": "nosniff",
+        "Referrer-Policy": "no-referrer",
+        "X-Frame-Options": "SAMEORIGIN",
+        "Content-Security-Policy":
+          "frame-ancestors 'self'; object-src 'none'; base-uri 'self'",
+      },
+    },
+  },
   css: [
     // 只放全站共享样式；各业务组件显式导入自己的带作用域样式。
     "~/assets/styles/entry.Cs9kvuGi.css",