API-08: SetHeaders-helfer fuer redirect-freie umgebungen + devserver fuer csp-live-verifikation

internal/secheaders/secheaders.go

@@ -83,18 +83,25 @@ func Middleware(cfg Config, next http.HandlerFunc) http.HandlerFunc {
 			return
 		}
 
-		w.Header().Set("Content-Security-Policy", cfg.ContentSecurityPolicy)
-		w.Header().Set("Strict-Transport-Security", cfg.hstsValue())
-		w.Header().Set("X-Frame-Options", cfg.FrameOptions)
-		w.Header().Set("Referrer-Policy", cfg.ReferrerPolicy)
-		if cfg.ContentTypeNoSniff {
-			w.Header().Set("X-Content-Type-Options", "nosniff")
-		}
-
+		SetHeaders(cfg, w)
 		next(w, r)
 	}
 }
 
+// SetHeaders setzt die Baseline-Header direkt, OHNE die HTTPS-Redirect-
+// Pruefung von Middleware — nuetzlich fuer lokale Entwicklungs-/
+// Demo-Umgebungen ohne TLS-Terminierung (siehe cmd/secheaders-devserver)
+// und fuer Aufrufer, die den Redirect selbst schon anderweitig sicherstellen.
+func SetHeaders(cfg Config, w http.ResponseWriter) {
+	w.Header().Set("Content-Security-Policy", cfg.ContentSecurityPolicy)
+	w.Header().Set("Strict-Transport-Security", cfg.hstsValue())
+	w.Header().Set("X-Frame-Options", cfg.FrameOptions)
+	w.Header().Set("Referrer-Policy", cfg.ReferrerPolicy)
+	if cfg.ContentTypeNoSniff {
+		w.Header().Set("X-Content-Type-Options", "nosniff")
+	}
+}
+
 // isSecure erkennt TLS direkt ODER ueber den ueblichen Reverse-Proxy-Header
 // (X-Forwarded-Proto) — der Core-Dienst laeuft in der Praxis hinter einem
 // TLS-terminierenden Proxy, sieht r.TLS also nie direkt gesetzt.