spring-security - Spring security 中的 Xss 保护是否默认启用？

Question

我想在我的应用程序中启用 Spring Security XSS 保护。

1)阅读文档和博客，https://spring.io/blog/2013/08/23/spring-security-3-2-0-rc1-highlights-security-headers/表示默认存在XSS

2) http://docs.spring.io/spring-security/site/docs/current/reference/html/headers.html 表示默认不存在

3)如果我在扩展 http.headers().xssProtection() 的类的配置方法中使用 WebSecurityConfigurerAdapter :这是否禁用了所有其他默认 header ？

Answer 1

除非您专门包含以下代码以禁用默认值，否则不会禁用默认值。

http.headers().defaultsDisabled()

注册点 1 和 2，我的理解是 blog 和 doc 具有相同的信息。

X-XSS-Protection: 1; mode=block

The filtering (filtering out XSS attacks) is typically enabled by default, so adding the header typically just ensures it is enabled and instructs the browser what to do when a XSS attack is detected.