设置 HTTP HEADER 字段来提高 Web 安全性

X-Frame-Options

该响应头中用于控制是否在浏览器中显示 frame 或 iframe 中指定的页面,主要用来防止 Clickjacking (点击劫持)攻击。

X-Frame-Options: SAMEORIGIN
DENY 禁止显示 frame 内的页面(即使是同一网站内的页面)
SAMEORIGIN
允许在 frame 内显示来自同一网站的页面,禁止显示来自其他网站的页面
ALLOW-FROM origin_uri 允许在 frame 内显示来自指定 uri 的页面(当允许显示来自于指定网站的页面时使用)

X-Content-Type-Options

如果从 script 或 stylesheet 读入的文件的 MIME 类型与指定 MIME 类型不匹配,不允许读取该文件。用于防止 XSS 等跨站脚本攻击。

X-Frame-Options: nosniff

X-XSS-Protection

用于启用浏览器的 XSS 过滤功能,以防止 XSS 跨站脚本攻击。

X-XSS-Protection: 1; mode=block
0 禁用 XSS 过滤功能
1 启用 XSS 过滤功能

Content-Security-Policy

用于控制当外部资源不可信赖时不被读取。用于防止 XSS 跨站脚本攻击或数据注入攻击(但是,如果设定不当,则网站中的部分脚本代码有可能失效)。

之前的字段名为 X-Content-Security-Policy

Content-Security-Policy: default-src 'self'
default-src ‘self’:允许读取来自于同源(域名+主机+端口号)的所有内容
default-src ‘self’
*.example.com:允许读取来自于指定域名及其所有子域名的所有内容

X-Permitted-Cross-Domain-Policies

用于指定当不能将”crossdomain.xml”文件(当需要从别的域名中的某个文件中读取 Flash 内容时用于进行必要设置的策略文件)放置在网站根目录等场合时采取的替代策略。

X-Permitted-Cross-Domain-Policies: master-only
master-only 只允许使用主策略文件(/crossdomain.xml)

Strict-Transport-Security

用于通知浏览器只能使用 HTTPS 协议访问网站。用于将 HTTP 网站重定向到 HTTPS 网站。

Strict-Transport-Security: max-age=31536; includeSubDomains
max-age 用于修改 STS 的默认有效时间。
includeSubDomains 用于指定所有子域名同样使用该策略。

Access-Control-Allow-Origin等CORS相关字段

当使用 XMLHttpRequest 从其他域名中获取资源进行跨域通信时使用。

Access-Control-Allow-Origin: http://www.example.com
Access-Control-Allow-Methods: POST, GET, OPTIONS
Access-Control-Allow-Headers: X-CODE
Access-Control-Max-Age: 1728

上述代码用于设定与”http://www.example.com“进行跨域通信处理,允许使用 POST, GET, OPTIONS 方法,在发送的请求头中添加 X-CODE 字段,通信超时时间为1,728,00秒。

我要评论!

想一个你喜欢的昵称。
给一个你的常用邮箱。
想和萌萌哒的TA们说点啥。
  • 正常配置下的SSL是服务器认证,但是有时候为了加强校验,将会引入双向认证(多用于内部服务)。 首先配置 nginx ssl,在 nginx 配置文件中加入: ssl on; ssl_certificate /usr/local/ssl/xxx.crt; ssl_certificate_key /us...
  • 硬盘的使用过程经常会遇到许多问题,比如硬盘的损坏等。在一些不当的操作下会影响到硬盘寿命, 造成不必要的资金浪费。我们今天为大家介绍的就是如何有效的延长硬盘寿命。 延长硬盘寿命1、硬盘在工作时不能突然关机 当硬盘开始工作时,一般都处于高速旋转之中,如果我们中途突然关闭电源,可能会导致磁头与盘片猛烈磨擦...
  • 背景信息: 2019年5月14日,监测到微软发布了紧急修复补丁,CVE-2019-0708的安全公告显示,黑客可以通过Remote Desktop Service(远程桌面服务)向目标设备发送特制的请求,可以在不需要用户干预的情况下远程执行任意代码,最终可能会像野火一样蔓延至整个系统,从而让整个系统...
  • 漏洞描述: 国外著名的远程管理软件公司NetSarang旗下多款客户端连接软件产品(Xmanager、Xshell、Xftp 和 Xlpd)被曝植入后门,存在敏感信息数据泄露风险。 漏洞定级: 高危 漏洞影响范围: 受影响版本:Xmanager Enterprise 5.0 Build 1232Xm...
  • 这种技巧据说能够把数码相机图像增大到整个海报大小,而用肉眼几乎看不出图像质量的降低。是不是如此呢? 大家不妨一起来试试 1.启动Photoshop,然后打开一幅图像。 2.选择“图像大小”命令。注意两个地方:一是要勾选“重定像素”,并把插补方法设定为“两次立方”,二是把文档大小的单位设置为百分比,并...
微信扫一扫即可带走我!