浏览器相关的几个安全配置

header的扩展属性

header中有些扩展属性可以用来保护站点，了解它们是有益处的

• X-Frame-Options
  • 这个属性可以避免网站被使用frame、iframe的方式嵌入，解决使用js判断会被var location;破解的问题，IE8、Firefox3.6、Chrome4以上的版本都支持
• X-XSS-Protection
  • 这是IE8引入的扩展header，在默认情况下IE8会自动拦截明显的XSS攻击，如query中写script标签并在返回的内容中包含这项标签，如果需要禁止可以将它的值设为0，因为这个XSS过滤有可能导致问题，如IE8 XSS Filter Bug。保险起见，不开吧。
• X-Requested-With
  • 用来标识Ajax请求，大部分js框架都会加入这个header
• X-Content-Type-Options
  • 如果是html内容的文件，即使用Content-Type: text/plain;的header，IE仍然会识别成html来显示，为了避免它所带来的安全隐患，在IE8中可以通过在header中设置X-Content-Type-Options: nosniff来关闭它的自动识别功能
    
    

    如果要嵌入不信任的网站，可以使用这个属性值来禁止页面中js、ActiveX的执行，可以参考msdn的文档

    <iframe security="restricted" src=""></iframe>