Nginx配置Http响应头安全策略

1. 防止跨站脚本攻击（XSS）：通过设置`CSP(Content-Security-Policy)`，可以限制浏览器只加载和执行来自特定来源的脚本，从而防止恶意脚本注入和执行。2. 防止点击劫持攻击：通过设置`X-Frame-Options`响应头，可以防止网页被嵌入到其他网站的`iframe`中，避免用户在不知情的情况下触发恶意代码。3. 提高网站安全性：通过设置`STS(Strict-Tra

文章共11,448字 · 阅读需要大约39分钟

一键AI生成摘要，助你高效阅读

问答

RisunJan

8758人浏览 · 2023-10-22 11:02:36

RisunJan · 2023-10-22 11:02:36 发布

一、配置响应头安全策略的意义

响应头文件安全策略的主要目的是强化网站的安全性和保护用户数据，是针对当前对网络安全要求较高的环境下应运而生的一种策略。

防止跨站脚本攻击（XSS）：通过设置CSP(Content-Security-Policy)，可以限制浏览器只加载和执行来自特定来源的脚本，从而防止恶意脚本注入和执行。
防止点击劫持攻击：通过设置X-Frame-Options响应头，可以防止网页被嵌入到其他网站的iframe中，避免用户在不知情的情况下触发恶意代码。
提高网站安全性：通过设置STS(Strict-Transport-Security)响应头，强制浏览器使用HTTPS协议与服务器通信，从而防止信息在传输过程中被窃取或篡改。
防止XSS攻击：通过设置X-XSS-Protection响应头，可以启用特定的XSS过滤器，以防止XSS攻击。
保护用户隐私：通过设置Referrer-Policy响应头，可以控制浏览器在请求时发送的referrer信息，以保护用户的隐私。
限制API和功能使用：通过设置Permissions-Policy响应头，可以限制网站可以使用的API和功能，从而降低潜在的安全风险。
防止信息泄露：将Server和X-Powered-By响应头设置为“NONE”或删除它们，可以防止暴露服务器类型和软件版本信息，从而降低潜在的安全风险。

二、Nginx配置概览

 server {
 	server_name xxxxx.com;
 	listen 443 ssl;
   	add_header Content-Security-Policy "default-src 'self' data: *.xxx.com  'unsafe-inline' 'unsafe-eval' mediastream: ";
   	add_header X-Content-Type-Options "nosniff";
   	add_header X-XSS-Protection "1; mode=block";
   	add_header X-Frame-Options SAMEORIGIN;
   	add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";
   	add_header Referrer-Policy "origin"; 
   	add_header X-Download-Options noopen;
   	add_header X-Permitted-Cross-Domain-Policies none;
   	...
 }

三、内容安全策略Content-Security-Policy（CSP）

应对漏洞：XSS攻击

Content-Security-Policy (CSP) 是一种网页安全策略，用于减少和防止跨站点脚本 (XSS)、点击劫持等攻击。CSP通过限制网页可以加载或执行的资源的来源来保护网站免受恶意代码的攻击。它可以通过HTTP头或网页中的标签来实现。
CSP通过指定可信任的资源来源，如脚本、样式表、字体、图像和其他嵌入的内容，来限制网页中可以加载的内容。如果网页中引用了来自未被信任的源的资源，如恶意脚本或非法广告，浏览器将拒绝加载这些资源，从而提供额外的安全性。
CSP还提供了其他功能，如报告机制，允许网站管理员获取有关被阻止或破坏的内容的报告，并通过这些报告来改进网站的安全性。

在 Nginx 中配置 Content-Security-Policy，可以通过在配置文件中添加 add_header 指令来实现。

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://ajax.googleapis.com; style-src 'self' https://fonts.googleapis.com;";
        # 其他配置...
    }
}

上述示例中，为所有请求设置了一个简单的 CSP 策略，允许从同一域名加载资源，并允许从 Google 的 AJAX API 和 Google 字体加载脚本和样式

3.1CSP指令集及其说明

指令	说明
default-src	设置网站默认的安全策略，适用于未指定安全策略的资源。
connect-src	控制页面可以建立连接的来源，防止恶意站点通过连接发起攻击。
font-src	控制字体资源的加载来源，防止加载恶意字体文件。
form-action	控制表单提交的目标URL，防止跨站请求伪造（CSRF）攻击。
frame-ancestors	控制嵌套的frame或iframe的来源，防止点击劫持攻击。
frame-src	控制frame或iframe中加载的页面的来源，防止嵌套的恶意页面的攻击。
image-src	控制图片资源的加载来源，防止加载恶意图片文件。
media-src	控制媒体资源（如音频、视频）的加载来源，防止加载恶意媒体文件。
object-src	控制object标签和embed标签中加载的内容的来源，防止加载恶意内容。
script-src	控制JavaScript脚本的加载来源，防止执行恶意脚本。
style-src	控制CSS样式表的加载来源，防止加载恶意样式表。
report-uri	指定报告异常信息的URI，方便管理员及时发现和处理安全问题。
upgrade-insecure-requests	要求浏览器将所有HTTP请求升级为HTTPS请求，提高安全性。
sandbox	对页面中的某些元素进行限制，防止恶意代码对其进行操作。

注：以下是一些常见参数及其说明和示例。可以根据具体需求进行配置。

3.2`default-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许加载同源的资源	`default-src 'self';`
`*`	允许加载任意来源的资源	`default-src '*';`
`none`	不允许加载任何资源，是最严格的设置	`default-src 'none';`
`unsafe-inline`	允许内联脚本和样式，但存在安全风险	`default-src 'unsafe-inline';`
`unsafe-eval`	允许使用eval()函数执行代码，存在安全风险	`default-src 'unsafe-eval';`
`strict-dynamic`	只允许动态生成脚本和样式，不允许内联脚本和样式	`default-src 'strict-dynamic';`
`https:`	只允许加载HTTPS资源	`default-src 'https:';`
`data:`	允许加载data:协议的资源，如文件上传等	`default-src 'data:';`

以下是一个示例（允许从同一域名加载资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "default-src 'self';";
        # 其他配置...
    }
}

3.3`connect-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许加载同源的资源	`connect-src 'self';`
`*`	允许加载任意来源的资源	`connect-src '*';`
`none`	不允许加载任何资源，是最严格的设置	`connect-src 'none';`
`report-sample`	要求浏览器报告所有连接请求的样本，用于调试和分析	`connect-src 'report-sample';`
`unsafe-inline`	允许内联脚本和样式，但存在安全风险	`connect-src 'unsafe-inline';`
`unsafe-eval`	允许使用eval()函数执行代码，存在安全风险	`connect-src 'unsafe-eval';`
`strict-dynamic`	只允许动态生成脚本和样式，不允许内联脚本和样式	`connect-src 'strict-dynamic';`
`https:`	只允许加载HTTPS资源	`connect-src 'https:';`
`data:`	允许加载data:协议的资源，如文件上传等	`connect-src 'data:';`

以下是一个示例(允许从 example.com 的 API 加载资源)：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "connect-src 'self' https://api.example.com;";
        # 其他配置...
    }
}

3.4`font-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许加载同源的资源	`font-src 'self';`
`*`	允许加载任意来源的资源	`font-src '*';`
`none`	不允许加载任何资源，是最严格的设置	`font-src 'none';`
`data:`	允许加载data:协议的资源，如文件上传等	`font-src 'data:';`
`https:`	只允许加载HTTPS资源	`font-src 'https:';`
`report-sample`	要求浏览器报告所有字体请求的样本，用于调试和分析	`font-src 'report-sample';`

以下是一个示例（允许从 Google 字体 API 加载字体资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "font-src 'self' https://fonts.googleapis.com;";
        # 其他配置...
    }
}

3.5`form-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许表单提交到同源的URL	`form-action 'self';`
`*`	允许表单提交到任意URL	`form-action '*';`
`none`	不允许表单提交，是最严格的设置	`form-action 'none';`
`report-sample`	要求浏览器报告所有表单提交的样本，用于调试和分析	`form-action 'report-sample';`

以下是一个示例（允许从同一域名加载表单资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "form-src 'self' https://example.com/forms;";
        # 其他配置...
    }
}

3.6`frame-ancestors`指令的参数、说明和示例

参数	说明	示例
`self`	允许嵌套的frame或iframe加载同源的资源	`frame-ancestors 'self';`
`*`	允许嵌套的frame或iframe加载任意来源的资源	`frame-ancestors '*';`
`none`	不允许嵌套的frame或iframe加载任何资源，是最严格的设置	`frame-ancestors 'none';`
`report-sample`	要求浏览器报告所有嵌套的frame或iframe的来源样本，用于调试和分析	`frame-ancestors 'report-sample';`

以下是一个示例（禁止任何框架嵌套）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "frame-ancestors 'none';";
        # 其他配置...
    }
}

3.7`frame-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许嵌套的frame或iframe加载同源的资源	`frame-src 'self';`
`*`	允许嵌套的frame或iframe加载任意来源的资源	`frame-src '*';`
`none`	不允许嵌套的frame或iframe加载任何资源，是最严格的设置	`frame-src 'none';`
`report-sample`	要求浏览器报告所有嵌套的frame或iframe的来源样本，用于调试和分析	`frame-src 'report-sample';`
`https:`	只允许嵌套的frame或iframe加载HTTPS资源	`frame-src 'https:';`
`data:`	允许嵌套的frame或iframe加载data:协议的资源，如文件上传等	`frame-src 'data:';`

以下是一个示例（允许从同一域名加载框架资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "frame-src 'self' https://example.com/frames;";
        # 其他配置...
    }
}

3.8`image-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许加载同源的图片资源	`image-src 'self';`
`*`	允许加载任意来源的图片资源	`image-src '*';`
`none`	不允许加载任何图片资源，是最严格的设置	`image-src 'none';`
`report-sample`	要求浏览器报告所有图片请求的样本，用于调试和分析	`image-src 'report-sample';`
`data:`	允许加载data:协议的图片资源，如文件上传等	`image-src 'data:';`
`https:`	只允许加载HTTPS协议的图片资源	`image-src 'https:';`

以下是一个示例（允许从同一域名加载框架资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "img-src 'self' https://example.com/images";
        # 其他配置...
    }
}

3.9`media-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许加载同源的媒体资源	`media-src 'self';`
`*`	允许加载任意来源的媒体资源	`media-src '*';`
`none`	不允许加载任何媒体资源，是最严格的设置	`media-src 'none';`
`report-sample`	要求浏览器报告所有媒体请求的样本，用于调试和分析	`media-src 'report-sample';`
`data:`	允许加载data:协议的媒体资源，如文件上传等	`media-src 'data:';`
`https:`	只允许加载HTTPS协议的媒体资源	`media-src 'https:';`

以下是一个示例（允许从同一域名加载媒体资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "media-src 'self' https://example.com/media;";
        # 其他配置...
    }
}

3.10`object-src`指令的参数、说明和示例

参数	说明	示例
`self`	允许加载同源的对象资源	`object-src 'self';`
`*`	允许加载任意来源的对象资源	`object-src '*';`
`none`	不允许加载任何对象资源，是最严格的设置	`object-src 'none';`
`report-sample`	要求浏览器报告所有对象请求的样本，用于调试和分析	`object-src 'report-sample';`
`data:`	允许加载data:协议的对象资源，如文件上传等	`object-src 'data:';`
`https:`	只允许加载HTTPS协议的对象资源	`object-src 'https:';`

以下是一个示例（禁止从任何来源加载对象资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "object-src 'none';";
        # 其他配置...
    }
}

3.11`script-src`指令的参数、说明和示例

参数	说明	示例
`self`	只允许从同源加载脚本。	`script-src 'self'`
`unsafe-inline`	允许内联脚本，但可能会存在安全风险。	`script-src 'unsafe-inline'`
`https://example.com/js/`	只允许从指定的URL加载脚本。	`script-src 'https://example.com/js/'`
`strict-dynamic`	如果脚本是通过动态方式插入到页面中的，则不允许执行该脚本。如果脚本是静态的，则允许执行。	`script-src 'strict-dynamic'`
`nonce` (仅适用于HTTPS)	要求脚本必须具有特定的随机值（nonce），以防止重复攻击。	`script-src 'nonce https://example.com/js/'`
`hash` (仅适用于HTTPS)	要求脚本必须具有特定的哈希值，以防止重复攻击。通常与nonce一起使用。	`script-src 'hash https://example.com/js/'`
`report-sample` (仅适用于HTTPS)	要求服务器在响应头中包含一个样本，以便CSP能够检测到潜在的XSS攻击。通常与report-uri指令一起使用。	`script-src 'report-sample https://example.com/js/'`
`upgrade-insecure-requests` (仅适用于HTTPS)	要求将所有不安全的请求升级为HTTPS请求，以提高安全性。通常与report-uri指令一起使用。	`script-src 'upgrade-insecure-requests https://example.com/js/'`
`blockallmixedcontent` (仅适用于HTTPS)	要求将所有混合内容的请求升级为HTTPS请求，以提高安全性。通常与report-uri指令一起使用。	`script-src 'blockallmixedcontent https://example.com/js/'`

以下是一个示例（允许从同一域名加载资源）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "script-src 'self' https://ajax.googleapis.com;";
        # 其他配置...
    }
}

3.12`style-src`指令的参数、说明和示例

参数	说明	示例
`self`	只允许从同源加载样式表。	`style-src 'self'`
`unsafe-inline`	允许内联样式，但可能会存在安全风险。	`style-src 'unsafe-inline'`
`https://example.com/css/`	只允许从指定的URL加载样式表。	`style-src 'https://example.com/css/'`
`strict-dynamic`	如果样式表是通过动态方式插入到页面中的，则不允许执行该样式表。如果样式表是静态的，则允许执行。	`style-src 'strict-dynamic'`
`nonce` (仅适用于HTTPS)	要求样式表必须具有特定的随机值（nonce），以防止重复攻击。	`style-src 'nonce https://example.com/css/'`
`hash` (仅适用于HTTPS)	要求样式表必须具有特定的哈希值，以防止重复攻击。通常与nonce一起使用。	`style-src 'hash https://example.com/css/'`
`report-sample` (仅适用于HTTPS)	要求服务器在响应头中包含一个样本，以便CSP能够检测到潜在的XSS攻击。通常与report-uri指令一起使用。	`style-src 'report-sample https://example.com/css/'`
`upgrade-insecure-requests` (仅适用于HTTPS)	要求将所有不安全的请求升级为HTTPS请求，以提高安全性。通常与report-uri指令一起使用。	`style-src 'upgrade-insecure-requests https://example.com/css/'`
`blockallmixedcontent` (仅适用于HTTPS)	要求将所有混合内容的请求升级为HTTPS请求，以提高安全性。通常与report-uri指令一起使用。	`style-src 'blockallmixedcontent https://example.com/css/'`

以下是一个示例（允许从 Google 的 AJAX API加载样式）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "style-src 'self' https://fonts.googleapis.com;";
        # 其他配置...
    }
}

3.13`report-uri`指令的参数、说明和示例

参数	说明	示例
`none`	不发送任何报告，是最严格的设置	`report-uri none;`
`self`	向同源的URL发送报告	`report-uri self;`
`*`	向任意URL发送报告	`report-uri *;`
`http://example.com/report`	向指定的URL发送报告	`report-uri http://example.com/report;`
`https://csp.example.com/report?source=%s&hash=%s`	向指定的安全站点发送报告，同时传递一些额外的信息，如来源和哈希值等	`report-uri https://csp.example.com/report?source=%s&hash=%s;`

以下是一个示例（添加了一个 report-uri 指令，用于指定报告 CSP 违规的 URL）：

server {
    listen 80;
    server_name example.com;

    location / {
        add_header Content-Security-Policy "report-uri /csp-report.php;";
        # 其他配置...
    }
}

3.14`upgrade-insecure-requests`指令的参数、说明和示例

参数	说明	示例
`none`	不升级不安全的请求，是最严格的设置	`upgrade-insecure-requests none;`
`1`	将HTTP升级请求（如HTTP/1.0到HTTP/1.1）视为不安全，不允许升级	`upgrade-insecure-requests 1;`
`2`	将HTTPS降级请求（如HTTPS到HTTP）视为不安全，不允许降级	`upgrade-insecure-requests 2;`
`3`	将不安全的跨域请求（如使用document.domain）视为不安全，不允许跨域请求	`upgrade-insecure-requests 3;`

在 Nginx 中，可以通过以下配置来启用或禁用 upgrade-insecure-requests 指令：

启用 upgrade-insecure-requests 指令：

http {
    add_header Content-Security-Policy "upgrade-insecure-requests";
    ...
}

禁用 upgrade-insecure-requests 指令：

http {
    add_header Content-Security-Policy "default-src 'self'; upgrade-insecure-requests off";
    ...
}

注意：在生产环境中，建议启用 upgrade-insecure-requests 指令，以防止潜在的安全风险。

3.15`sandbox`指令的参数、说明和示例

sandbox 为特定的元素或脚本添加额外的限制和安全策略，防止恶意代码执行和攻击行为。
sandbox 指令可以包含以下关键字进行配置：

关键字	说明
`allow-scripts`	是否允许执行脚本
`allow-same-origin`	是否允许同源脚本执行
`allow-top-navigation`	是否允许导航到顶级域名
`allow-forms`	是否允许提交表单
`allow-pointer-lock`	是否允许启用鼠标锁定
`allow-popups`	是否允许弹出窗口
`allow-presentation`	是否允许使用全屏显示API
`allow-orientation-lock`	是否允许锁定屏幕方向
`allow-downloads`	是否允许下载文件
`allow-modals`	是否允许使用模态对话框
`allow-user-activation`	是否允许用户激活内容（例如点击链接）
`require-same-origin`	要求同源脚本执行
`require-cors`	要求跨域资源共享（CORS）
`nonce`	指定一个随机数，用于防止重复提交攻击

1.示例：

<iframe src="https://example.com" sandbox="allow-scripts allow-top-navigation"></iframe>

上面的示例中，通过在 iframe 标签中添加 sandbox 属性并设置相应的值，限制了该 iframe 中的脚本只能从同源加载，并且不允许导航到顶级域名之外。这样可以有效地防止恶意代码的注入和攻击行为的发生。

2.在 Nginx 中，可以使用 add_header 指令来设置 Content Security Policy（CSP）的 sandbox 属性。以下是一个示例：

location / {
    add_header Content-Security-Policy "sandbox allow-scripts allow-top-navigation";
    # 其他配置...
}

上面的示例中，通过在 location 块中使用 add_header 指令，将 Content-Security-Policy 设置为 "sandbox allow-scripts allow-top-navigation"。这将限制该位置中的脚本只能从同源加载，并且不允许导航到顶级域名之外。这样可以有效地防止恶意代码的注入和攻击行为的发生。

注意：此配置会屏蔽范围外的脚本，如果是已经上线的系统，需要考虑下是否有引入外部脚本的情况，避免盲目增加配置，导致生产事故。

四、X-Content-Type-Options

·应对漏洞：内容嗅探攻击

约定资源的响应头，屏蔽内容嗅探攻击。
网络请求中，每个资源都有自己的类型，比如Content-Type:text/html 、image/png、 text/css。但是有一些资源的类型是未定义或者定义错了，导致浏览器会猜测资源类型，尝试解析内容，从而给了脚本攻击可乘之机。比如利用一个图片资源去执行一个恶意脚本。

X-Content-Type-Options 用于指示浏览器是否应该执行预检请求（preflight request）来验证跨域请求的类型。它有两个可选的值：

nosniff：表示浏览器不应该尝试猜测请求的内容类型，而是严格按照请求头中的 Content-Type 字段来判断。这是推荐的做法，因为它可以防止恶意网站利用旧版浏览器的 MIME 嗅探漏洞。浏览器严格匹配资源类型，会拒绝加载错误或者不匹配的资源类型。
注：网上看到一个人用流的方式从后台给前台传图片，大概代码由于后端未指定资源类型，导致增加该配置后无法显示图片
sniff：表示浏览器可以根据请求的 URL 和 HTTP 方法来猜测请求的内容类型。这个值已经不推荐使用，因为它可能导致安全问题。

4.1`nosniff` 指令的参数、说明和示例

参数	说明	示例
`nosniff`	指示浏览器不要尝试猜测内容类型，必须显式指定内容类型	`X-Content-Type-Options: nosniff`
`nosniff=1`	同上，但允许旧版 Internet Explorer 使用 MIME 类型推断	`X-Content-Type-Options: nosniff=1`
`nosniff=0`	允许浏览器尝试猜测内容类型，可能导致安全问题	`X-Content-Type-Options: nosniff=0`
`nosniff=1; upgrade`	同上，但允许旧版 Internet Explorer 尝试升级到更安全的内容类型	`X-Content-Type-Options: nosniff=1; upgrade`
`nosniff=0; upgrade`	同上，但允许浏览器尝试升级到更安全的内容类型	`X-Content-Type-Options: nosniff=0; upgrade`

4.2`nosniff` 的`nginx配置`示例

为整个站点启用这个选项，可以在 server 块中添加

server {
    listen 80;
    server_name example.com;

    add_header X-Content-Type-Options "nosniff";

    # 其他配置
    ...
}

为特定的 location 启用这个选项，配置如下

server {
    listen 80;
    server_name example.com;

    location / {
        add_header X-Content-Type-Options "nosniff";

        # 其他配置
        ...
    }
}

五、X-XSS-Protection

应对漏洞：XSS攻击
开启浏览器XSS防护(原理不明，待研究.好像是浏览器自己有个filter，能过滤xss攻击脚本)。开启后不会影响业务，无特殊情况，建议开启，以防止潜在的安全风险。

5.1`X-XSS-Protection` 的参数、说明和示例

参数	说明	示例
`0`	禁用 XSS 过滤器。注意，这会降低安全性，不建议使用。	`X-XSS-Protection: 0;`
`1`	启用浏览器内置的 XSS 过滤器（通常为 Internet Explorer）。如果检测到跨站脚本攻击，浏览器将清除页面（包括 JavaScript 和 Cookie）。	`X-XSS-Protection: 1;`
`1; mode=block`	同上，但在检测到跨站脚本攻击时，阻止页面加载，而不是清除页面。	`X-XSS-Protection: 1; mode=block;`
`1; report=<reporting-uri>`	启用浏览器内置的 XSS 过滤器，并在检测到跨站脚本攻击时，将报告发送到指定的 URI。注意，不是所有浏览器都支持此功能。	`X-XSS-Protection: 1; report=<reporting-uri>;`
`1; report=<reporting-uri>; mode=block`	同上，但在检测到跨站脚本攻击时，阻止页面加载，而不是清除页面，并将报告发送到指定的 URI。注意，不是所有浏览器都支持此功能。	`X-XSS-Protection: 1; report=<reporting-uri>; mode=block;`
`1; feature=<http-header-name>`	启用浏览器内置的 XSS 过滤器，并在检测到跨站脚本攻击时，将报告发送到指定的 HTTP 头字段。注意，不是所有浏览器都支持此功能。	`X-XSS-Protection: 1; feature=<http-header-name>;`
`1; feature=<http-header-name>; mode=block`	同上，但在检测到跨站脚本攻击时，阻止页面加载，而不是清除页面，并将报告发送到指定的 HTTP 头字段。注意，不是所有浏览器都支持此功能。	`X-XSS-Protection: 1; feature=<http-header-name>; mode=block;`

5.2`X-XSS-Protection` 的`nginx配置`示例

1. 启用 X-XSS-Protection：

http {
    add_header X-XSS-Protection "1; mode=block";
    ...
}

2. 禁用 X-XSS-Protection：

http {
    add_header X-XSS-Protection "0";
    ...
}

六、X-Frame-Options

应对漏洞：点击劫持

用于控制网页在哪些框架中显示，控制页面是否可以用于ifram中，如果使用，是什么范围。也可以通过这个控制来避免自己的资源页面被其他页面引用(攻击者会用一个自己网站，用ifram或者fram嵌套的方式引入目标网站，诱使用户点击。从而劫持用户点击事件)

6.1`X-Frame-Options` 的参数、说明和示例

参数	说明	示例
`DENY`	拒绝任何框架嵌套,即不允许将网页嵌入到其他网页中，最严格的安全策略,但可能会导致用户体验不佳。	`X-Frame-Options: DENY`
`SAMEORIGIN`	只允许同源的框架嵌套，提供一定程度的安全性。但仍然可能存在跨站脚本攻击（XSS）的风险。	`X-Frame-Options: SAMEORIGIN`
`ALLOW-FROM uri`	只允许指定的 URI 中的框架嵌套。	`X-Frame-Options: ALLOW-FROM https://example.com`
`ALLOW-FROM *`	允许任何框架嵌套，最宽松的安全策略,可能导致 XSS 攻击。	`X-Frame-Options: ALLOW-FROM *`

6.2`X-Frame-Options` 的`nginx配置`示例

在 Nginx 中配置 X-Frame-Options，需要在server 或 location块中添加以下代码：

add_header X-Frame-Options SAMEORIGIN;

这将设置 X-Frame-Options 为 SAMEORIGIN，只允许同源的框架嵌套。如果需要设置为其他选项，可以将 SAMEORIGIN 替换为相应的值。例如，如果要设置为 DENY，可以使用以下代码：

add_header X-Frame-Options DENY;

如果要设置为 ALLOW-FROM uri，可以使用以下代码：注意，这里的引号是必需的，因为选项值中包含了空格。

add_header X-Frame-Options "ALLOW-FROM https://example.com";

允许所有

add_header X-Frame-Options "ALLOW-FROM *";

七、Strict-Transport-Security

强制浏览器只通过HTTPS与网站进行通信

Strict-Transport-Security（HSTS）是一种安全策略，用于强制浏览器只通过HTTPS与网站进行通信。这可以防止中间人攻击和数据泄露。以下是HSTS的一些参数、说明和示例：

7.1`Strict-Transport-Security` 的参数、说明和示例

参数	说明	示例
`max-age`	指定HSTS策略的有效期，单位为秒。	`max-age=31536000; includeSubDomains`
`includeSubDomains`	表示该策略适用于所有子域名。	`includeSubDomains`
`preload`	指示浏览器预加载HSTS策略，即使用户尚未访问网站。	`preload`
`force-redirect`	指示浏览器在下次请求时自动将HTTP重定向到HTTPS。	`force-redirect`
`report-uri`	指定一个URI，用于报告HSTS违规行为。	`report-uri="https://report-only.example.com/hsts"`

7.2`Strict-Transport-Security` 的`nginx配置`示例

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /path/to/your/certificate.crt;
    ssl_certificate_key /path/to/your/private.key;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload; force-redirect; report-uri=\"https://report-only.example.com/hsts\"";
}

在这个例子中，我们设置了HSTS策略的有效期为一年（31536000秒），并启用了预加载、强制重定向和报告功能。根据需要调整上述参数。

八、Referrer-Policy

用于控制浏览器在请求中发送的Referer信息

当用户在浏览器上点击一个链接时，会产生一个 HTTP 请求，用于获取新的页面内容，而在该请求的报头中包含一个Referrer，用以指定该请求是从哪个页面跳转页来的，常被用于分析用户来源等信息。但是也成为了一个不安全的因素，所以就有了Referrer-Policy，用于过滤Referrer报头内容，
注意：此配置可能会导致某些系统访问率统计插件失效，如果有此类业务，一定要验证下。

8.1`Referrer-Policy` 的参数、说明和示例

参数	说明	示例
`no-referrer`	不发送Referer信息。	`Referrer-Policy: no-referrer`
`no-referrer-when-downgrade`	当从HTTPS降级到HTTP时，不发送Referer信息。	`Referrer-Policy: no-referrer-when-downgrade`
`same-origin`	只发送同源请求的Referer信息。	`Referrer-Policy: same-origin`
`origin`	只发送源（协议、主机和端口）信息作为Referer。	`Referrer-Policy: origin`
`strict-origin`	类似于`origin`，但不允许通过非安全连接发送Referer信息。	`Referrer-Policy: strict-origin`
`origin-when-cross-origin`	跨域请求时，只发送源信息作为Referer。	`Referrer-Policy: origin-when-cross-origin`
`strict-origin-when-cross-origin`	类似于`origin-when-cross-origin`，但不允许通过非安全连接发送Referer信息。	`Referrer-Policy: strict-origin-when-cross-origin`
`unsafe-url`	不限制Referer信息的发送，可能导致敏感信息泄露。	`Referrer-Policy: unsafe-url`

8.2`Referrer-Policy` 的`nginx配置`示例

在 Nginx 中，可以通过配置文件来设置 Referrer-Policy 响应头。以下是一些常见的 Referrer-Policy 配置示例：

设置 no-referrer 策略：

location / {
    add_header Referrer-Policy "no-referrer";
    return 200 'Hello, World!';
}

设置 no-referrer-when-downgrade 策略：

location / {
    add_header Referrer-Policy "no-referrer-when-downgrade";
    return 200 'Hello, World!';
}

设置 same-origin 策略：

location / {
    add_header Referrer-Policy "same-origin";
    return 200 'Hello, World!';
}

设置 origin 策略：

location / {
    add_header Referrer-Policy "origin";
    return 200 'Hello, World!';
}

设置 strict-origin 策略：

location / {
    add_header Referrer-Policy "strict-origin";
    return 200 'Hello, World!';
}

九、X-Download-Options

用于控制浏览器如何处理下载请求

9.1`X-Download-Options` 的参数、说明和示例

参数	说明	示例
noopener	禁止通过 JavaScript 打开下载链接的窗口。	`X-Download-Options: noopener`
sameorigin	只允许从相同域名下载文件。	`X-Download-Options: sameorigin`
strict-origin	只允许从与下载链接相同的协议和域名下载文件。	`X-Download-Options: strict-origin`
enforce	不允许下载链接被点击，即使它是有效的。	`X-Download-Options: enforce`

noopen 和 noopener 都是X-Download-Options响应头的一部分，它们都用于指定用户下载文件后的行为。
noopen参数的作用是：当使用IE8及以上版本的浏览器下载文件时，禁止在下载完成后自动打开文件，而是由用户选择如何处理文件。也就是说，它会删除“打开方式”选项，剩下的唯一选项是“另存为”和“取消”。
noopener参数的作用是：防止在用户完成下载后自动打开文件，但它更进一步，阻止了任何恶意代码在网站上下文中运行。需要注意的是，noopener参数的实现并非在所有浏览器中都有相同的效果。
总的来说，noopen主要在于控制下载文件的打开方式，而noopener则更注重保护用户的安全，防止恶意代码的执行。

9.2`X-Download-Options` 的`nginx配置`示例

location /download/ {
    # 设置 X-Download-Options 为 noopener
    add_header X-Download-Options "noopener";
    # 其他配置...
}

add_header X-Download-Options "noopen" always;

添加"always"参数可以确保该头信息始终向客户端发送，无论响应状态码是什么。

十、X-Permitted-Cross-Domain-Policies

用于指定允许的跨域资源共享（CORS）策略

指示浏览器在处理跨域请求时应该遵循哪些策略。

10.1`X-Permitted-Cross-Domain-Policies` 的参数、说明和示例

参数	说明	示例
`none`	不允许任何跨域请求。	`X-Permitted-Cross-Domain-Policies: none`
`always`	允许所有跨域请求，无论是否包含凭据（例如 cookies）。	`X-Permitted-Cross-Domain-Policies: always`
`use-credentials`	仅当请求包含凭据时才允许跨域请求。	`X-Permitted-Cross-Domain-Policies: use-credentials`
`omit`	不允许包含凭据的跨域请求。	`X-Permitted-Cross-Domain-Policies: omit`

10.2`X-Permitted-Cross-Domain-Policies` 的`nginx配置`示例

location / {
    add_header X-Permitted-Cross-Domain-Policies none;
    add_header X-Permitted-Cross-Domain-Policies always;
    add_header X-Permitted-Cross-Domain-Policies use-credentials;
    add_header X-Permitted-Cross-Domain-Policies omit;
}

十一、cookie

在head中可以设置cookie的参数，来组合实现一些安全策略。

11.1`cookie` 的参数、说明和示例

参数	说明	示例
name	指定 Cookie 的名称	`name=username`
value	指定 Cookie 的值	`value=JohnDoe`
domain	指定 Cookie 的域名，如果不设置则默认为当前网页所在的域名	`domain=example.com`
path	指定 Cookie 的路径，如果不设置则默认为当前网页所在的路径	`path=/home`
expires	指定 Cookie 的过期时间	`expires=Wednesday, 09-Nov-99 23:12:40 GMT`
max-age	指定 Cookie 的最大生存时间（以秒为单位）	`max-age=604800`
secure	指定 Cookie 只能通过 HTTPS 协议进行传输	`secure`
httponly	指定 Cookie 不能被客户端脚本访问	`httponly`
samesite	指定 Cookie 是否仅在同一站点上下文中发送	`samesite=Strict`

11.2`cookie` 的`nginx配置`示例

在 Nginx 中配置 Cookie 参数可以通过在 location 块中使用 proxy_cookie_flags 指令来实现。以下是一些示例：

设置 Cookie 的名称和值：

location / {
    proxy_cookie_name "username";
    proxy_cookie_value "JohnDoe";
}

设置 Cookie 的域名：

location / {
    proxy_cookie_domain example.com;
}

设置 Cookie 的路径：

location / {
    proxy_cookie_path /home;
}

设置 Cookie 的过期时间：

location / {
    proxy_cookie_expires Wednesdav, 09-Nov-99 23:12:40 GMT;
    proxy_cookie_max_age 604800;
}

设置 Cookie 只能通过 HTTPS 传输：

location / {
    proxy_cookie_secure on;
}

设置 Cookie 不能被客户端脚本访问：

location / {
    proxy_cookie_httponly on;
}

设置 Cookie 是否仅在同一站点上下文中发送：
```
location / {
    proxy_cookie_samesite Strict;
}
```
当访问以/开头的路径时，将设置一个名为Path=/的cookie，该cookie具有安全策略Secure和HttpOnly属性。这意味着该cookie只能通过HTTPS协议发送给服务器，并且不能被JavaScript获取到
```
location / {
 	proxy_cookie_path / "/; Path=/; Secure; HttpOnly";
}
```

参考资料

内容安全策略
 HTTP头检测工具
 内容安全策略 (CSP)
Content Security Policy入门教程
 http响应头安全策略（nginx版）
X-Frame-Options响应头配置详解
 Nginx 安全的配置项

GitCode 开源社区

旨在为数千万中国开发者提供一个无缝且高效的云端环境，以支持学习、使用和贡献开源项目。

更多推荐

【目标检测】目标检测的一些常用神经网络模型及方法

我的阶段性总结????文章目录1.概述1.2 目标检测的任务1.3 目标检测的分类2.R-CNN系列2.1 [R-CNN（Region with CNN features）](https://arxiv.org/pdf/1311.2524.pdf)2.2 [Fast R-CNN](https://www.cv-foundation.org/openaccess/content_iccv_2015/

GitCode 开源社区

用C++实现4种YOLO目标检测（内附完整代码）

GitCode 开源社区

静态时序分析：SDC约束命令create_generated_clock详解（上）

GitCode 开源社区

所有评论(0)

查看更多评论

RisunJan

@qq_32808455

已为社区贡献3条内容

Nginx配置Http响应头安全策略

RisunJan

一、配置响应头安全策略的意义

二、Nginx配置概览

三、内容安全策略Content-Security-Policy（CSP）

3.1CSP指令集及其说明

3.2default-src指令的参数、说明和示例

3.3connect-src指令的参数、说明和示例

3.4font-src指令的参数、说明和示例

3.5form-src指令的参数、说明和示例

3.6frame-ancestors指令的参数、说明和示例

3.7frame-src指令的参数、说明和示例

3.8image-src指令的参数、说明和示例

3.9media-src指令的参数、说明和示例

3.10object-src指令的参数、说明和示例

3.11script-src指令的参数、说明和示例

3.12style-src指令的参数、说明和示例

3.13report-uri指令的参数、说明和示例

3.14upgrade-insecure-requests指令的参数、说明和示例

3.15sandbox指令的参数、说明和示例

四、X-Content-Type-Options

4.1nosniff 指令的参数、说明和示例

4.2nosniff 的nginx配置示例

五、X-XSS-Protection

5.1X-XSS-Protection 的参数、说明和示例

5.2X-XSS-Protection 的nginx配置示例

六、X-Frame-Options

6.1X-Frame-Options 的参数、说明和示例

6.2X-Frame-Options 的nginx配置示例

七、Strict-Transport-Security

7.1Strict-Transport-Security 的参数、说明和示例

7.2Strict-Transport-Security 的nginx配置示例

八、Referrer-Policy

8.1Referrer-Policy 的参数、说明和示例

8.2Referrer-Policy 的nginx配置示例

九、X-Download-Options

9.1X-Download-Options 的参数、说明和示例

9.2X-Download-Options 的nginx配置示例

十、X-Permitted-Cross-Domain-Policies

10.1X-Permitted-Cross-Domain-Policies 的参数、说明和示例

10.2X-Permitted-Cross-Domain-Policies 的nginx配置示例

十一、cookie

11.1cookie 的参数、说明和示例

11.2cookie 的nginx配置示例

参考资料

所有评论(0)

RisunJan

3.2`default-src`指令的参数、说明和示例

3.3`connect-src`指令的参数、说明和示例

3.4`font-src`指令的参数、说明和示例

3.5`form-src`指令的参数、说明和示例

3.6`frame-ancestors`指令的参数、说明和示例

3.7`frame-src`指令的参数、说明和示例

3.8`image-src`指令的参数、说明和示例

3.9`media-src`指令的参数、说明和示例

3.10`object-src`指令的参数、说明和示例

3.11`script-src`指令的参数、说明和示例

3.12`style-src`指令的参数、说明和示例

3.13`report-uri`指令的参数、说明和示例

3.14`upgrade-insecure-requests`指令的参数、说明和示例

3.15`sandbox`指令的参数、说明和示例

4.1`nosniff` 指令的参数、说明和示例

4.2`nosniff` 的`nginx配置`示例

5.1`X-XSS-Protection` 的参数、说明和示例

5.2`X-XSS-Protection` 的`nginx配置`示例

6.1`X-Frame-Options` 的参数、说明和示例

6.2`X-Frame-Options` 的`nginx配置`示例

7.1`Strict-Transport-Security` 的参数、说明和示例

7.2`Strict-Transport-Security` 的`nginx配置`示例

8.1`Referrer-Policy` 的参数、说明和示例

8.2`Referrer-Policy` 的`nginx配置`示例

9.1`X-Download-Options` 的参数、说明和示例

9.2`X-Download-Options` 的`nginx配置`示例

10.1`X-Permitted-Cross-Domain-Policies` 的参数、说明和示例

10.2`X-Permitted-Cross-Domain-Policies` 的`nginx配置`示例

11.1`cookie` 的参数、说明和示例

11.2`cookie` 的`nginx配置`示例