Nginx配置各种响应头防止XSS,点击劫持，frame恶意攻击(1)

SAMEORIGIN

表示该页面可以在相同域名页面的frame中展示

ALLOW-FROM url

表示该页面可以在指定来源的frame中展示

如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。另一方面，如果设置为SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。

PS：目前发现这个HTTP响应头会带来的问题就是百度统计中的“热点追踪(页面点击图）”功能会失效，这也说明百度统计的“热点追踪(页面点击图）”使用的是 frame 嵌入引用网页的形式，这时候大家可以使用 X-Frame-Options 的ALLOW-FROM uri来指定百度统计域名为可 frame 嵌入域名即可。具体在Nginx里可以采用如下的方式添加响应头

add_header X-Frame-Options:ALLOW-FROM https://tongji.baidu.com;

add_header X-Frame-Options:SAMEORIGIN;

X-Content-Type-Options响应头

================================================================================================

互联网上的资源有各种类型，通常浏览器会根据响应头的Content-Type字段来分辨它们的类型。例如：text/html代表html文档，image/png是PNG图片，text/css是CSS样式文档。然而，有些资源的Content-Type是错的或者未定义。这时，某些浏览器会启用MIME-sniffing来猜测该资源的类型，解析内容并执行。

例如，我们即使给一个html文档指定Content-Type为text/plain，在IE8-中这个文档依然会被当做html来解析。利用浏览器的这个特性，攻击者甚至可以让原本应该解析为图片的请求被解析为JavaScript。在Nginx里通过下面这个响应头可以禁用浏览器的类型猜测行为：

X-Content-Type-Options HTTP 消息头相当于一个提示标志，被服务器用来提示客户端一定要遵循在 Content-Type 首部中对 MIME 类型 的设定，

而不能对其进行修改。这就禁用了客户端的 MIME 类型嗅探行为，换句话说，也就是意味着网站管理员确定自己的设置没有问题。

X-Content-Type-Options响应头的缺失使得目标URL更易遭受跨站脚本攻击。

add_header X-Content-Type-Options: nosniff;

这个响应头的值只能是nosniff, 可用于IE8+和Chrome

IE的行为受X-Content-Type-Options的影响，如果Web应用没有返回Content-Type，那么IE9、IE11将拒绝加载相关资源。

如果服务器发送响应头 “X-Content-Type-Options: nosniff”，则