http-security-headers-mcp

请分析 https://example.com 的 HTTP 安全头配置，重点检查 CSP、HSTS、CORS 和 Cookie 属性，给出风险评分、问题说明以及按优先级排序的修复建议。

返回安全头评分报告，列出缺失或错误配置项、风险等级和具体修复建议。

这是我们新版本的响应头配置，请帮我评估是否存在安全问题，并指出哪些设置会影响浏览器安全策略或跨域访问：Content-Security-Policy: default-src 'self'; Strict-Transport-Security: max-age=300; Access-Control-Allow-Origin: *; Set-Cookie: sessionId=abc123

输出对各个响应头的逐项评估，指出潜在漏洞、兼容性影响和推荐替代配置。

根据以下安全头检测结果，整理一份给开发与运维团队的修复清单，包含问题、影响、建议配置和优先级：缺少 X-Content-Type-Options；HSTS max-age 过短；CORS 允许任意来源；Cookie 未设置 Secure 和 HttpOnly。

生成结构化修复清单，便于团队分工处理和跟踪整改进度。