如何添加HTTP安全标头？

Question

如何将以下安全标头添加到我的网站？

X-Frame-Options- 防止点击劫持攻击
X-XSS-Protection- 缓解跨站脚本 (XSS) 攻击
X-Content-Type-Options - 防止可能的网络钓鱼或 XSS 攻击

Answer 1

添加这些标头的方法有两种：

Apache 会议或.htaccess文件

<IfModule mod_headers.c>
Header set X-Frame-Options "DENY"
Header set X-XSS-Protection "1; mode=block"
Header set X-Content-Type-Options "nosniff"
</IfModule>

Apache/htaccess 方法很可能是首选方法。如果您将其添加到您的配置文件中，该文件可能位于您的配置文件中，httpd.conf也可能位于虚拟主机配置文件中（实际上取决于服务器的设置方式），您可以将其放置在一个<Directory>元素中。要使用.htaccess站点的配置，必须具有AllowOverride All. 虽然它非常标准，但您mod_headers也必须在 Apache 中安装该库。

PHP

header('X-Frame-Options: DENY');
header('X-XSS-Protection: 1; mode=block');
header('X-Content-Type-Options: nosniff');

使用 PHP 方法，您需要将其写入每个响应，因此，如果您没有可以执行此操作的引导程序，我建议您利用 apache 配置文件或该文件.htaccess。