appscan常见问题修改

最新推荐文章于 2025-04-02 10:35:31 发布

nickname_oo

最新推荐文章于 2025-04-02 10:35:31 发布

阅读量2.6k

点赞数

分类专栏：网络安全 java

本文链接：https://blog.csdn.net/helihongzhizhuo/article/details/94396146

版权

java 同时被 2 个专栏收录

38 篇文章

订阅专栏

网络安全

7 篇文章

订阅专栏

本文详细介绍如何在JSP和Servlet中实施一系列HTTP响应头，包括Content-Security-Policy、X-Content-Type-Options、X-XSS-Protection等，以增强Web应用的安全性，防止XSS攻击及不当的内容类型猜测。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

jsp中添加：

servlet中添加：

/**解决Missing "Content-Security-Policy" header
   * Missing "X-Content-Type-Options" header
   * Missing "X-XSS-Protection" header导致Web 应用程序编程或配置不安全
   * **/
   response.setHeader("Access-Control-Allow-Origin", request.getHeader("Origin"));
   response.setHeader("Access-Control-Allow-Methods", "POST, GET");//允许跨域的请求方式
//     response.setHeader("Access-Control-Max-Age", "3600");//预检请求的间隔时间
   response.setHeader("Access-Control-Allow-Headers", "Origin, No-Cache, X-Requested-With, If-Modified-Since, Pragma, Last-Modified, Cache-Control, Expires, Content-Type, X-E4M-With,userId,token,Access-Control-Allow-Headers");//允许跨域请求携带的请求头
   response.setHeader("Access-Control-Allow-Credentials","true");//若要返回cookie、携带seesion等信息则将此项设置我true

   response.setHeader("strict-transport-security","max-age=16070400; includeSubDomains");//简称为HSTS。它允许一个HTTPS网站，要求浏览器总是通过HTTPS来访问它
   response.setHeader("Content-Security-Policy","default-src 'self'");//这个响应头主要是用来定义页面可以加载哪些资源，减少XSS的发生
   response.setHeader("X-Content-Type-Options","nosniff");//互联网上的资源有各种类型，通常浏览器会根据响应头的Content-Type字段来分辨它们的类型。通过这个响应头可以禁用浏览器的类型猜测行为
   response.setHeader("X-XSS-Protection","1; mode=block");//1; mode=block：启用XSS保护，并在检查到XSS攻击时，停止渲染页面
   response.setHeader("X-Frame-Options","SAMEORIGIN");//SAMEORIGIN：不允许被本域以外的页面嵌入；