请说明在 Express 应用中集成 Helmet 的具体做法，以及它分别从哪些方面提升应用安全性。
考察说明
考查对 Express 安全中间件 Helmet 的功能理解与实际配置能力。
回答思路
- 【回答框架 1】Helmet 是一个 Express 中间件集合，通过设置多种 HTTP 响应头来降低常见 Web 漏洞风险，如 XSS、点击劫持、MIME 嗅探等。
- 【回答框架 2】基本用法是调用 app.use(helmet())，它会自动启用一组默认的安全相关响应头，例如 Content-Security-Policy、X-Frame-Options、X-Content-Type-Options、Strict-Transport-Security 等。
- 【回答框架 3】可以根据应用需求单独配置或禁用某些中间件，例如 app.use(helmet.frameguard({ action: 'deny' })) 或设置 CSP 策略以控制资源加载来源。
- 【回答框架 4】需要注意 Helmet 只能缓解浏览器端的部分攻击，不能替代输入验证、身份认证和业务逻辑安全措施。配置 CSP 时需确保策略与实际资源来源匹配，避免误拦截合法请求。
- 【关键点 1】Helmet 通过设置安全相关的 HTTP 响应头来提升安全性。
- 【关键点 2】常用响应头包括 CSP、X-Frame-Options、X-Content-Type-Options、HSTS 等。
- 【关键点 3】Helmet 可整体使用或按需单独配置，支持自定义选项。
- 【关键点 4】Helmet 不能解决所有安全问题，需与其他安全措施配合。
- 【关键点 5】配置 CSP 时需要测试以确保不破坏应用功能。
- 【易错点 1】过度依赖 Helmet 而忽视输入验证等根本安全措施。
- 【易错点 2】CSP 配置过于严格导致功能异常，需仔细调整。
- 【易错点 3】并非所有响应头适用所有场景，需按需启用。