anchor.diff:  如下设置cookie选项，可以增加安全性：
   
   * *secure* – 保证浏览器只能通过HTTPS发送cookie。
  -* *httpOnly* – 保证浏览器不同用客户端JavaScript发送cookie，只能通过HTTP(S)发送，这样可以不受跨站脚本攻击。
  +* *httpOnly* – 保证浏览器不用客户端JavaScript发送cookie，只能通过HTTP(S)发送，这样可以不受跨站脚本攻击。
   * *domain* – 指定域名。先判断指定的域名和请求服务器的域名是否匹配，匹配后会进行下一个属性path的匹配。
   * *path* – 指定路径。路径也匹配后，发送cookie。
   * *expires* – 设置数据的过期时间。
  
positive.code: 
  #### 至少屏蔽X-Powered-By
  
  如果不想用Helmet，至少要屏蔽*X-Powered-By*。攻击者会使用这个头（默认开启）检测是否是Express的应用，然后针对攻击。
  
  所以，最佳实践就是调用*app.disable()*方法关闭它：
  ```javascript
  
negative.code: 
  Helmet实质上是由9个中间价组成的集合，用来设置安全相关的HTTP头：
  
  * https://github.com/helmetjs/csp[csp]设置*Content-Security-Policy*，抵御跨站脚本攻击、跨站注入。
  * https://github.com/helmetjs/hide-powered-by[hidePoweredBy]删除*X-Powered-By*。
  * https://github.com/helmetjs/hpkp[hpkp]增加 https://developer.mozilla.org/en-US/docs/Web/Security/Public_Key_Pinning[Public Key Pinning]，用来防御利用伪造证书的中间人攻击。
  * https://github.com/helmetjs/hsts[hsts]设置*Strict-Transport-Security*，强制（HTTP通过SSl/TLS）安全连接服务器。
  