001 header 安全配置

![](/media/202204/2022-04-24_214503_718387.png)

为了理解安全标头，我们将首先简要解释一下 HTTP 标头是什么：

HTTP 标头允许客户端和服务器随请求或响应一起发送附加信息。请求标头由其名称（不区分大小写）后跟一个冒号`:`，然后是它的值（无换行符）组成。值左侧的空白将被忽略。

# **什么是 HTTP 安全标头？**

HTTP 安全标头是 HTTP 标头的子集，在 Web 客户端（通常是浏览器）和服务器之间交换，以指定 HTTP 通信的安全相关细节。一些与隐私和安全性间接相关的 HTTP 标头也可以被视为 HTTP 安全标头。通过在 Web 应用程序和 Web 服务器配置中启用适当的标头，我们可以提高 Web 应用程序对许多常见攻击的抵抗力，包括跨站点脚本 (XSS) 和点击劫持。

# **它们如何提高 Web 应用程序的安全性？**

HTTP 安全标头通过限制浏览器和服务器在 Web 应用程序运行后允许的行为来提供额外的安全层。在许多情况下，实现正确的标头是配置最佳实践应用程序的关键方面，但是您如何知道要使用哪些标头？

与其他 Web 技术一样，HTTP 标头基于浏览器供应商的支持来来去去。尤其是在安全领域，几年前得到广泛支持的标头可能已经过时了。同时，全新的提案可以在几个月内获得普遍支持。跟上所有这些变化并不容易。

# **最重要的 HTTP 安全标头**

让我们看一下所选标头的摘要，从一些更流行的 HTTP 响应标头开始。

## **Strict-Transport-Security**

在服务器上启用时，HTTP 严格传输安全 (HSTS) 强制使用加密的 HTTPS 连接，而不是明文 HTTP 通信。典型的 HSTS 标头可能是：

```
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
```

这将通知访问的 Web 浏览器当前站点（包括子域）仅是 HTTPS，并且浏览器应在接下来的 2 年内通过 HTTPS 访问它（以秒为单位的最大年龄值）。`preload directive`表示该站点存在于仅 HTTPS 站点的全局列表中。预加载旨在加快页面加载速度并消除首次访问网站时遭受中间人 (MITM) 攻击的风险。

## **Content-Security-Policy**

内容安全策略 (CSP) 标头是 HTTP 安全标头的瑞士军刀，也是保护您的网站和应用程序免受 XSS 攻击的推荐方法。它允许精确控制允许的内容源和许多其他参数。仅允许来自本地来源的资产的基本 CSP 标头是：

```
Content-Security-Policy: default-src 'self'
```

其他指令包括`script-src`, `style-src`e`img-src`来指定脚本、CSS 样式表和图像的允许字体。例如，如果指定，则` script-src 'self'`仅允许来自本地来源的脚本。您还可以使用`plugin-types`（Firefox 不支持） u来限制插件源`object-src`。

## **X-Frame-Options**

此标头首先在 Microsoft Internet Explorer 中引入，以提供针对涉及 HTML iframe 的 XSS 攻击的保护。为了防止当前页面加载到任何 iframe 中，您可以使用：

```
X-Frame-Options: deny
```

其他支持的值是`sameorigin`允许加载具有相同来源的 iframe 并`allow-from`指示特定的 URL。此标头通常可以用合适的 CSP 指令替换。

# **其他有用的 HTTP 安全标头**

虽然不如 CSP 和 HSTS 重要，但以下标头也可以帮助强化您的 Web 应用程序。

## **Expect-CT**

为防止网站证书伪造，Expect-CT 标头可用于指示仅应接受添加到证书透明度记录的新证书。一个典型的标题是：

```
Expect-CT: max-age=86400, enforce,  report-uri="https://domain.com/report"
```

使用指令`enforce`，客户端被指示拒绝违反证书透明度策略的连接。可选指令`report-uri`指示报告故障的位置。

## **X-Content-Type-Options**

当出现在服务器响应中时，此标头强制 Web 浏览器严格遵循标头中指定的 MIME 类型`Content-Type`。这可以保护网站免受滥用 MIME 嗅探功能以提供伪装成不可执行 MIME 类型的恶意代码的 XSS 攻击。标头只有一个指令：

```
X-Content-Type-Options: nosniff
```

## **获取元数据标头**

一组新的客户端标头允许浏览器通知服务器有关 HTTP 请求的不同属性。目前有四个标题：

- `Sec-Fetch-Site`：表示源和目标之间的预期关系。
- `Sec-Fetch-Mode`：表示预期的请求模式。
- `Sec-Fetch-User`：指示请求是否由用户发起。
- `Sec-Fetch-Dest`: 表示请求的目的地。

如果服务器和浏览器支持，这些标头可用于通知服务器应用程序的预期行为，以识别可疑请求。

# **恢复**

HTTP 安全标头通常是在不更改应用程序本身的情况下提高 Web 应用程序安全性的简单方法，因此使用最新的标头始终是一个好主意。但是，由于供应商对 HTTP 标头的支持变化如此之快，因此很难使所有内容保持最新，尤其是在您使用数百个网站时。

# 测试步骤

1、增加两个 HOST 字段
2、测试 header
```
   X-Original-Url:
   X-Forwarded-Server:
   X-Host:
   X-Forwarded-Host:
   X-Rewrite-Url:
```