安全標頭應該在哪里？ 響應頭還是請求頭？
[英]Where should the security headers be? Response headers or Request headers?
原文
2016-03-23 07:17:21
2
2
security/
http-headers/
content-security-policy/
request-headers/
response-headers
問題描述
安全標頭如
x-content-type-options:nosniff
x-frame-options:SAMEORIGIN
x-ua-compatible:IE=edge, chrome=1
x-xss-protection:1; mode=block
應該是請求頭還是響應頭？ 為什么？
2 個解決方案
解決方案1
2 2016-03-28 19:12:44
瀏覽器使用所有這些標頭（如大多數 http 安全標頭）來啟用瀏覽器中的安全功能。
因此它們需要在服務器發送到瀏覽器的響應頭中。
在請求頭（從瀏覽器發送到服務器）中設置它們沒有任何作用，因為服務器不使用它們。
解決方案2
0 2016-03-23 12:32:19
它應該是響應頭，例如： x-content-type-options:nosniff：這是一項安全功能，有助於防止基於 MIME 類型混淆的攻擊。 您可以在Veracode 站點、 Owasp 站點、MSDN 站點上閱讀完整的詳細信息
我應該為哪些 Content-Type 設置與安全相關的 HTTP 響應標頭？
[英]For which Content-Types should I set security related HTTP response headers?
安全原因，以維護允許的HTTP響應標頭的白名單
[英]Security reasons to maintain a whitelist of allowed HTTP response headers
.net核心安全頭中間件不向外部http請求添加頭
[英].net core security headers middleware not adding headers to external http requests
聲明:本站的技術帖子網頁，遵循CC BY-SA 4.0協議，如果您需要轉載，請注明本站網址或者原文地址。任何問題請咨詢:yoyou2525@163.com.