django - 为 Django 应用程序添加安全 header 的最佳做法是什么？

Question

现在哪个更适合添加 security headers配置在应用程序级别或 nginx 级别，如

    add_header X-Frame-Options "SAMEORIGIN";
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Content-Type-Options nosniff;
    add_header X-XSS-Protection "1; mode=block";
    add_header 'Referrer-Policy' 'origin';

或者在 django 设置中

SECURE_BROWSER_XSS_FILTER=True
SECURE_CONTENT_TYPE_NOSNIFF=True
SECURE_HSTS_INCLUDE_SUBDOMAINS=True
SECURE_HSTS_SECONDS=36000
SECURE_SSL_REDIRECT=True

如果我在两个级别上添加它们，会不会产生冲突或将来出现任何问题？当然，任何提供其安全中间件的框架，而不是专门的 django 呢

Answer 1

是的，它可能会导致您的网络服务器发生一些冲突，例如，您必须在响应 header 中添加 X-Frame-Options，我建议您不要这样做。处理你只在一个级别，用 Django 做任何你能做的事情，剩下的用你的网络服务器做(我知道例如 Feature-Policy 不能在 Django 中处理干净地用你的网络服务器做这个，nonce hash 不是在网络服务器上很容易，你应该用你的 Django 来做!)我不知道它有多少真实的方式，Django deployment checklist建议使用您的网络服务器进行 SSL 重定向和

你可以使用Django-CSP生成 nonce 哈希并配置你的 CSP policy , 您也可以添加 Feature-Policy通过以下方式配置 Nginx:

add_header Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none'; gyroscope 'none'; magnetometer 'none'; microphone 'none'; payment 'none'; usb 'none'";

OWASP Secure Headers Project 上可用的最佳实践和我的 git repo和 here is link of django secure header config