安全 HTTP 响应头

Question

我需要保护我的 http 响应标头。

根据我之前在 nodejs 中所做的，我会使用头盔和一些手动配置来完成这项工作。

我也对 Spring 进行了研究，并得出了这张表。

所以我的主要问题是：

我是否需要在 Spring 中处理诸如 X-Powered-By-Header 之类的东西？ 对我来说阻止X-Powered-By-Header ， ieNoOpen Spring 中的ieNoOpen什么？

Answer 1

X-Powered-By是由应用服务器提供的非标准 HTTP 标头。 通常，您将使用此配置禁用默认 HTTP 标头。

@Override
protected void configure(HttpSecurity http) throws Exception {
   http
      // ...
     .headers().disable();
} 

但由于X-Powered-By是一个非标准 API，此代码不会从您的应用服务器禁用此标头。 不过，您可以配置您的应用服务器以禁用此标头。

是否需要在 Spring 中处理诸如 X-Powered-By-Header 之类的东西？

好吧，如果你愿意，那么你可以像这样覆盖标题

protected void configure(HttpSecurity http) throws Exception {
    http
      .headers()
        .addHeaderWriter(new StaticHeadersWriter("X-Powered-By-Header","Express"))
     ....
}