security - 安全 header

Question

我一直在阅读关于保护您网站的文章，他们说要放置这 3 个标题:

• X-Frame-Options: DENY
• X-XSS-保护:1；模式= block
• X-Content-Type-Options: nosniff

在我的网站中保护它免受网站攻击，但我不知道如何在我的 header 中声明它，有人可以帮我解决这个问题吗？

这是进入 HTML 还是进入服务器？

Answer 1

您绝对不想使用 <meta> 将它们放入 HTML 中标记，因为 JavaScript 可以删除它们，并且(正确的)浏览器会忽略它们。

您需要在服务器上将它们设置为 HTTP 响应 header ，这取决于您的服务器/框架。你也不想在每个页面上都这样做，因为它不是 DRY，所以你想找到一个集中的解决方案。

你可以使用 modsecurity使用 Apache httpd 或 nginx，或者只是 mod_headers .

或者，如果您真的不想做任何系统管理员，可以使用像 cloudflare 这样的服务。