安全配置Security Defenses
通過對Security Defenses的配置 ,可以對http頭添加相應的安全配置 ,如csp, X-Frame-Options, X-Content-Type-Option等
1 X-Frame-Options
你的網站添加了X-Frame-Options之后,保存了自己的網站不被其它網站參考,比如其它網站想iframe你的網站,通過X-Frame-Options DENY之后,其它網站是不容許iframe你的網站的,
參考:https://www.rfc-editor.org/rfc/rfc7034
HTTP 回應頭是用來給瀏覽器指示允許一個頁面可否在 , 或者 中展現的標記,網站可以使用此功能,來確保自己網站的內容沒有被嵌套到別人的網站中去,也從而避免了點擊劫持 (clickjacking) 的攻擊,
注意:由于微信掃碼采用iframe的方式,所以這塊我們不能配置,不然微信不能使用,或者使用ALLOW-FROM,
現代瀏覽器遵循 X-Frame-Options 協議頭,它表明一個資源是否允許加載到 frame 或者 iframe 中, 如果回應包含值為 SAMEORIGIN 的協議頭,瀏覽器會在 frame 中只加載同源請求的的資源;如果協議頭設定為 ,瀏覽器會在加載 frame 時屏蔽所有資源,無論請求來自于哪個站點;如果希望開放給某個域名,可以使用ALLOW-FROM uri來實作它,DENY表示拒絕所有請求,
如果在kc中配置了它,并且在其它網站想通過iframe嵌入KC的頁面,那么,如果使用SAMEORIGIN
它會出現如下圖提示;如果是同源網站,是可以通過iframe訪問它的
2 Content Security Policy
你的網站需要參考外部資源,如你需要參考微信的js腳本,或者需要iframe微信的頁面,這時,你需要配置自己網站的CSP,將微信添加到白名單即可,例如:frame-src 'self' https://www.recaptcha.net https://open.weixin.qq.com
參考:https://www.w3.org/TR/CSP/
"網頁安全政策"(Content Security Policy,縮寫 CSP)CSP 的實質就是白名單制度,開發者明確告訴客戶端,哪些外部資源可以加載和執行,等同于提供白名單,它的實作和執行全部由瀏覽器完成,開發者只需提供配置,
# 不允許被嵌入,包括<frame>, <iframe>, <object>, <embed> 和 <applet>
Content-Security-Policy: frame-ancestors 'none'
# 只允許被同源的頁面嵌入
Content-Security-Policy: frame-ancestors 'self'
# 只允許被白名單內的頁面嵌入
Content-Security-Policy: frame-ancestors www.example.com
# 不允許被嵌入,包括<frame>, <iframe>, <embed> 和 <object>
X-Frame-Options: deny
# 只允許被同源的頁面嵌入
X-Frame-Options: sameorigin
# (已廢棄)只允許被白名單內的頁面嵌入
X-Frame-Options: allow-from www.example.com
3 Content-Security-Policy-Report-Only
參考:https://www.w3.org/TR/CSP/
4 X-Content-Type-Options
參考: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/X-Content-Type-Options
回應首部相當于一個提示標志,被服務器用來提示客戶端一定要遵循在 Content-Type 首部中對 MIME 型別 的設定,
5 X-Robots-Tag
參考:https://http.dev/x-robots-tag
6 X-XSS-Protection
參考:https://owasp.org/www-project-secure-headers/#xxxsp
7 HTTP Strict Transport Security (HSTS)
參考:https://owasp.org/www-project-secure-headers/#hsts
作者:倉儲大叔,張占嶺,
榮譽:微軟MVP QQ:853066980
支付寶掃一掃,為大叔打賞!
轉載請註明出處,本文鏈接:https://www.uj5u.com/houduan/547623.html
標籤:其他
上一篇:【Visual Leak Detector】在 QT 中使用 VLD(方式一)
下一篇:二刷整合