NginxHttpHeader增加几个关键的安全选项-6ren

NginxHttpHeader增加几个关键的安全选项

转载作者：撒哈拉更新时间：2024-12-06 14:23:25

57

4

针对像德勤这样的专业渗透测试（Pentest）的场景中，为了确保网站的安全性并通过严格的安全审查，需要为这些安全头配置更细致、专业的参数.

以下是对每个选项的建议以及设置值的详细说明:

1. Strict-Transport-Security (HSTS)

确保所有通信强制通过 HTTPS 并防止降级攻击.

参数解释：

max-age=31536000：HSTS 缓存有效期设为 1 年（以秒为单位），确保长期有效。
includeSubDomains：将 HSTS 策略扩展到所有子域名，避免主域和子域之间的攻击风险。
preload：将域名提交到 HSTS 预加载列表以防止首次访问时的降级攻击。需要在 HSTS Preload List 提交域名。

2. Content-Security-Policy (CSP)

定义允许加载的内容来源，防止跨站脚本（XSS）和数据注入攻击.

参数解释：

default-src 'none'：默认禁止加载任何外部资源。
script-src 'self'：仅允许加载本域的脚本。
style-src 'self'：仅允许加载本域的样式。
img-src 'self' data:：仅允许加载本域的图片和 Base64 内嵌的图片。
font-src 'self'：仅允许加载本域的字体。
object-src 'none'：禁止加载插件内容（如 Flash）。
frame-ancestors 'none'：防止网站被嵌入到 iframe 中，防止点击劫持攻击。
base-uri 'self'：限制 <base> 标签的 URL。
form-action 'self'：只允许表单提交到本站，防止 CSRF 攻击。

注意：

CSP 策略需与网站的实际需求相匹配，以避免破坏正常功能。
如果网站需要使用第三方资源（如 Google Fonts 或 CDN），需明确指定来源，例如：
script-src 'self' https://example.com; style-src 'self' https://fonts.googleapis.com;.

3. X-Content-Type-Options

防止 MIME 类型混淆攻击，强制浏览器遵循 Content-Type 响应头.

参数解释：

nosniff：禁止浏览器进行内容类型嗅探，防止将非预期内容（如脚本文件）执行。

4. X-XSS-Protection

启用浏览器的内置 XSS 保护机制（某些现代浏览器已默认禁用该功能）.

参数解释：

1：启用 XSS 保护。
mode=block：检测到潜在攻击时，阻止页面加载，而不是仅仅清理恶意内容。

注意：

当前浏览器（如 Chrome 和 Edge）不再支持 XSS 保护头部，建议将 CSP 作为首选防护方案。
如果目标用户中仍有使用旧版浏览器的场景，可以启用此头。

其他安全头建议（可选）：

1. Referrer-Policy

控制浏览器在跳转时发送的引用信息.

2. Permissions-Policy（前身为 Feature-Policy）

限制浏览器功能（如地理位置、摄像头、麦克风等）的访问权限.

检查安全头的生效情况：

工具推荐：使用以下工具验证头部配置：
- Security Headers
- Mozilla Observatory
使用 curl 查看响应头：

curl -I https://your-domain.com

最后此篇关于NginxHttpHeader增加几个关键的安全选项的文章就讲到这里了,如果你想了解更多关于NginxHttpHeader增加几个关键的安全选项的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！。

57

4

0

文章推荐：交易系统：线上交易系统流程详解

文章推荐：基于C#编写的VisualStudio文件编码显示与修改扩展插件

文章推荐：使用Tesseract进行图片文字识别

文章推荐：【知识点】一文讲清动态规划的本质

Nagios:关键 - 10 秒后套接字超时
我已经运行 nagios 大约两年了，但最近这个问题开始出现在我的一项服务中。我越来越 CRITICAL - Socket timeout after 10 seconds 对于 check_htt
CSS border-image - 关键
我用 CSS 做到了这一点: 但我希望我的客户更改图像框架。在我的图像中，当前帧只是一种颜色 (#000)。但框架可以是装饰性的。因此，客户应使用装饰图像进行取景。我看过 W3Schools' bor
javascript - 关键 checkin 对象
我编写了一个脚本来检查对象中是否有任何缺失的字段，然后返回具有缺失字段的项目的 ID。它正在返回: [ '222', '333' ] 我期望返回: ['333'] 为什么它也返回222 id？ fu
database - 功能依赖是 DBMS - 关键
我正在读 Ramakrishnan 的书数据库管理系统，在模式细化和范式相关的章节中，我看到一句话说: K is a candidate key for R means that K ----> R
Java Robot 关键 Activity 似乎在某些软件运行时停止工作
我正在编写一个 Java 应用程序，以在一夜之间自动化在线游戏中的角色 Action (特别是，它在《最终幻想 XI》中捕鱼)。该应用程序大量使用 java 的 Robot 类来模拟用户键盘输入和检测
javascript - 新日期作为 react 关键 Prop ？
我有这个 react 代码，我在某些输入组件上使用 new Date().getTime() 作为 react 键 Prop 。这可能是一种反模式，因为键需要稳定。但我想了解为什么这如此有问题。为什么
python - 关键 - 将查询循环转换为 1 个有趣的合并查询
我正在尝试将我的简单查询优化为更复杂的查询。我有三个表 Table 1 a_id info 1 talk 2 talk 3 sleep 4 sit Table 2
css - 关键/延迟 CSS 实现
Google PageSpeed 审核建议将首屏内容的关键 CSS 添加到中的标签，并将其余部分推迟到内容加载完成之后。虽然我不同意这种做法，但正确的实现方式是什么？我对使用它有一些保留意见
python - 关键 :pika. 连接:尝试在关闭时发送帧
我已经使用 Pika 将 Websocket 集成到 Tornado 和 RabbitMQ 中。它成功地在各种队列上运行直到一段时间。然后引发以下错误: 严重:pika.connection:关闭时尝
css - Gulpfile 关键 CSS 解决方案
我在本地使用 Gulp 和 SASS 进行开发，为动态站点(即 CMS 驱动)编译 CSS。我正在尝试配置一个解决方案来编译全局与关键路径 CSS。到目前为止最好的想法是将我的主要 scss 文件拆分
c++ - gtkmm glib gio 关键
关于为 gtkmm 运行以下 simple.cc 示例 #include int main(int argc, char * argv[]){ Glib::RefPtr app = Gt
javascript - 在 react 关键 Prop 被剥离
我正在生成一个 TSX 元素列表: this.productsModel = this.state.products.map(o => ( 但是，react 警告我:
node.js - Npm 脚本 - 关键 css
我正在使用 Addy Osmani 的“Critical” https://github.com/addyosmani/critical 下面的 package.json 工作正常，但构建仅复制关键
java - 如何对 Guava 多图进行排序？ (关键=日期)
我有一个 Multimap multimap = ArrayListMultimap.create(); 来自 Guava 。我想知道如何对多图中的 Date 键进行排序。目前，我正在这样做:
html - Jekyll、关键 CSS、HTML 压缩在一个任务中？
我有一个基于 Jekyll 的网站，我想尽快完成它。我的目标是构建 Jekyll 站点、生成关键 CSS 并缩小 HTML 的 gulp 任务。我的 gulpfile 的一部分看起来像这样: gul
C++ OpenMP 关键 : "one-way" locking?
考虑以下串行函数。当我并行化我的代码时，每个线程都会从并行区域(未显示)内调用此函数。我正在努力使这个线程安全和高效(快速)。 float get_stored_value__or__calculat
python - 关键 : tensorflow:Category has no images - validation
我正尝试在 tensorflow 中为我自己的自定义类别重新训练 Inception v3 模型。我已经下载了一些数据并将其格式化为目录。当我运行时，python 脚本为图像创建了瓶颈，然后当它运行时
GStreamer-关键 ** : gst_debug_log_valist: assertion `category != NULL' failed?
我该如何追查此错误消息的根本原因？ (test:1090): GStreamer-CRITICAL **: gst_debug_log_valist: assertion `category != N
spring-security - 关键 CloudFoundry : Enforcing HTTPS (SSL)
我想为要托管在 Pivotal CloudFoundry 上的 Spring Boot 应用程序强制执行 HTTPS，我想现在大多数应用程序都需要这样做。据我所知，常用的方法是使用 http.requ
python - 关键 - 在 Travis CI 中运行时出错| pytest
在 Travis CI 上运行 Pytest 时，我收到 Key -Error。请在下面找到我的程序: import sys import os sys.path.append(os.path.dir

首页

博学

6Ren·AI

商城

NginxHttpHeader增加几个关键的安全选项

1. Strict-Transport-Security (HSTS)

推荐值：

参数解释：

2. Content-Security-Policy (CSP)

推荐值（需根据业务需求定制）：

参数解释：

注意：

3. X-Content-Type-Options

推荐值：

参数解释：

4. X-XSS-Protection

推荐值：

参数解释：

注意：

其他安全头建议（可选）：

1. Referrer-Policy

2. Permissions-Policy（前身为 Feature-Policy）

检查安全头的生效情况：