WebSphere 9.0.5.13 上的安全标头设置

Question

当检查 securityheaders.com 上的 URL“https://.com”时，我必须将所有这些标头（如下所述）设置为绿色。 Headers: "Strict-Transport-Security" "Content-Security-Policy" "X-Frame-Options" "X-Content-Type-Options" 这里运行的Web Server是这里的IBM WebSphere 9.0.5.13。

我知道它需要添加到一些带有上下文参数的 Web.xml 文件中但是有很多 manu web.xml 文件不确定是哪个文件，或者我们也尝试从服务器 Web 容器设置中添加这个不起作用：8816.8988ib.00070 webcontainer.ADD_STS_HEADER_WEBAPP....value=max-age=31536000;includeSubDomains;preload com.ibm.ws.webcontainer.addStrictTransportSecurityHeader....value=max-age=31536000;includeSubDomains;preload 但都没有用。 我需要为上面提到的所有标题执行此操作。

我们知道如何为 Tomcat 执行此操作，但 WebSphere 人员遇到了困难。 如果有人知道如何做到这一点，请帮助我。 提前谢谢大家

问候，迈纳克

Answer 1

您需要使用 Servlet API 在您的应用程序或过滤器中设置自定义响应标头。 如果您不能这样做，如果您的应用程序前面有一个代理服务器，您通常可以做类似的事情。

WebSphere Liberty 基本支持通过 server.xml 添加自定义响应标头，但在传统的 websphere 应用程序服务器中不可用。

HSTS 是独一无二的，因为在配置的各个级别都支持它。