HTTP 安全头部速记

最新推荐文章于 2024-02-22 09:39:58 发布
最新推荐文章于 2024-02-22 09:39:58 发布
阅读量184 收藏
点赞数
文章标签： 网络
原文链接：https://segmentfault.com/a/1190000015637144
版权

本文简单介绍与安全相同的 HTTP 响应头部，内容整理自《OWASP Secure Headers Project》。

HTTP Strict Transport Security

HTTP Strict Transport Security(HSTS) 是一种网络安全策略机制，用于防范降级攻击（Downgrade Attack）和 Cookie 劫持（Cookie Hijacking）。它允许服务器告诉浏览器（或其他代理）只能使用 HTTPS 访问服务，禁止使用 HTTP。实现了 HSTS 策略的服务器通过 HTTPS 链接的 Strict-Transport-Security 头部告诉客户端其策略，HTTP 中的 HSTS 头部会被忽略。

参数:

参数说明
max-age=SECONDS指定的时间（秒）范围内浏览器总是使用 HTTPS 来访问
includeSubDomains可选参数，是否同时应用于当前域名的所有子域名

示例:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Public Key Pinning Extension for HTTP

HTTP Public Key Pinning （HPKP）是一种防止 HTTPS 网站被攻击者使用错误发布或其他欺诈性证书冒充安全证书的安全机制。例如，攻击者可能会欺骗证书颁发机构，然后为错误的为其颁发证书。

HTTPS 服务器会通过头部提供一个公钥哈希列表，在后续的请求中，客户端期望服务端在证书链中使用其中一个或多个公钥哈希。想要安全的部署 HPKP，要求具有成熟的部署和管理机制，否则主机可能会因为固定到一组无效的公钥哈希而使得服务不可用。一旦成功部署，能够大大减小中间人攻击和其他虚假认证问题。

参数:

参数说明
pin-sha256="<sha256>"Base64 编码的公钥信息指纹，可以指定多个不同的公钥
max-age=SECONDS指定的时间（秒）范围内总是使用其中一个固定的 key
includeSubDomains可选参数，是否同时应用于所有子域名
report-uri="<URL>"可选参数，pin 校验失败后的上报地址

示例:

Public-Key-Pins: pin-sha256="d6qzRu9zOECb90Uez27xWltNsj0e1Md7GkYYkVoZWmM="; pin-sha256="E9CZ9INDbd+2eRQozYqqbQ2yXLVKB9+xcprMF+44U1g="; report-uri="http://example.com/pkp-report"; max-age=10000; includeSubDomains

X-Frame-Options

X-Frame-Options 响应头部用于保护网络应用遭受点击劫持（Clickjacking）攻击。它用来控制网站是否显示其它域的 <iframe> 内容。

参数:

参数说明
deny不显示 <frame> 内容
sameorigin只显示来自同域的 <frame> 内容
allow-from:<DOMAIN>只显示指定域名的 <frame> 内容

示例:

X-Frame-Options: deny

X-XSS-Protection

X-XSS-Protection 用来开启浏览器自带的 XSS 防护。

参数:

参数说明
0不开启
1开启，当浏览器检测到 XSS 攻击时，会清除不安全的内容
1;mode=block开启，当浏览器检测到 XSS 攻击时，不会清除内容，而是会阻止页面加载
1;report=<REPORT-URI>（Chrome Only）开启，当浏览器检测到 XSS 攻击时，将清除不安全内容并使用 CSP report-uri 指令发送违规报告

示例：

X-XSS-Protection: 1; mode=block

X-Content-Type-Options

设置该头部可以防止浏览器把响应解析为指定 Content-Type 以外的类型。例如，一个 HTML 文档的 Content-Type 为 text/plain，但是有些浏览器仍然会把文档当做 HTML 来解析。

参数：

参数说明
nosniff阻止浏览器自动推测类型

示例：

X-Content-Type-Options: nosniff

Content-Security-Policy

Content-Security-Policy（CSP）可以用来定义详细的安全策略。它可以大范围地控制浏览器行为，例如默认不允许内嵌脚本，除非显式声明允许。

CSP 的设置较为复杂，由指令和参数组成，指令之间使用 ; 分割，参数之间使用空格分割。指令的值即为参数。

参数：

指令说明
base-uri定义相对 URI 的基础 URI
default-src定义所有资源加载的默认策略，如果对应类型的资源加载策略没有定义，则会使用该策略
script-src定义可以执行的 Script 来源
object-src定义 <object>、<embed>、<applet> 等可以加载的插件来源
style-src定义允许加载的样式来源
img-src定义允许加载的图片来源
media-src定义允许加载的视频和音频来源
frame-src定义允许嵌入的 <frame> 来源（已弃用，请使用 child-src 代替）
child-src定义允许嵌入的 <frame> 来源
font-src定义允许加载的字体来源
connect-src定义允许访问的接口域名
manifest-src定义允许加载的资源清单来源
form-action定义允许在 <form> 中使用的 action 域名
sandbox定义 HTML 沙盒策略
script-nonce要求 script 必须带上随机串（SRI 相关）
referrer定义客户端必须发送 Referer 头部信息
report-uri定义违规报告的发送地址
参数说明
'none'不允许任何内容
'self'允许同源内容
data:允许 data: 协议
www.example.com允许指定域名内容
.example.com允许子域名内容
https://example.com允许指定域名且协议匹配的内容
https:允许加载 HTTPS 资源
'unsafe-inline'允许行内资源，如行内 JS 和 CSS 、style 属性、onclick 属性等
'unsafe-eval'允许 js 动态代码，如 eval

示例：

Content-Security-Policy: default-src *; script-src 'self' 'unsafe-inline' 'unsafe-eval'; report-uri https://example.com/report

Referrer-Policy

Referfer-Policy 响应头部控制浏览器应该在 Referrer 请求头部中发送什么信息。

参数：

参数说明
no-referrer不发送 Referrer 头部
no-referrer-when-downgrade默认值，HTTPS 转 HTTP 时不发送 Referrer 头部
origin只发送文档源域名
origin-when-cross-origin同域时发送完整的 URL，跨域时只发送源域名
same-origin同域时才发送，跨域时不发送
strict-origin只有在 HTTPS 转 HTTPS 时才发送源域名，其他情况不发送
strict-origin-when-cross-origin同域时发送完整 URL，HTTPS 转 HTTPS 时发送源域名，HTTPS 转 HTTP 时不发送
unsafe-url发起同域或跨域请求时发送完整 URL（不含参数）

示例：

Referrer-Policy: no-referrer
weixin_34400525
关注
网工考前速记知识网工考前速记知识
03-12
### 网工考前速记知识 #### 1. 数制与计算机中的数的表示 - **原码、反码、补码的取值范围和取值个数**： - **定点整数**： - **原码**：\(-(2^{n-1}-1)\)～\(2^{n-1}-1\)。 - **反码**：\(-(2^{n-1}-1)\)～\(2...
如何使用Nginx配置HSTS（HTTP严格传输安全）？
长风破浪会有时的博客
04-02 2370
首先，我们要明白HSTS是什么。HSTS是一种安全策略，它告诉浏览器：“只能用HTTPS来访问我的网站，不要用HTTP哦！”这样，即使有人尝试用不安全的方式（HTTP）来访问网站，浏览器也会自动切换到安全的方式（HTTPS）。通过这个配置，我们可以确保用户总是通过安全的方式（HTTPS）来访问我们的网站，从而提高网站的安全性。现在，我们来看看如何使用Nginx来配置HSTS。这个配置做了什么呢？
HTTP 请求头安全方案
qq_35040959的博客
01-13 1938
HTTP 请求头安全方案
http安全头配置
zxl1990_ok的博客
07-06 1083
X-Frame-Options X-Frame-Options 响应头是用来给浏览器指示允许一个页面 可否在 <frame>,<iframe>,<embed>或者<object>中展现的标记。站点可以通过确保网站没有被嵌入到别人的站点里面，从而避免点击劫持攻击。 功能 防御点击劫持。如果恶意的站点将你的网页嵌入iframe标签中，然后诱使用户在该站点上进行操作，此时用户将在不知情的情况下点击透明的iframe页面，从而诱使用户恰好点击在ifram...
HTTP 安全响应头（Security Response header）配置手册
sysin | SYStem INside
12-09 1万+
HTTP 安全响应头（Security Response header）配置手册
HTTP协议安全头部的笔记
dzqxwzoe的博客
02-22 1011
本文于2016年3月完成，发布在个人博客网站上。近日项目组对当前开发、维护的Web系统做了AppScan扫描，扫描的结果惨不忍睹，问题很多。报告中报到“缺乏HTTP安全头部”。之前对HTTP协议的安全头部了解不多，为了消除AppScan报告中的警告，同时做更多的了解，搜集了一些相关的资料，于是有了本篇汇总笔记。
安全工程师考试《安全生产技术基础》50个高频考点速记
05-22
安全工程师考试《安全生产技术基础》50个高频考点速记
中级安全工程师考试《安全生产技术基础》重要考点速记
05-22
中级安全工程师考试《安全生产技术基础》重要考点速记
打卡打卡打卡打卡打卡打卡
最新发布
10-14
打卡打卡打卡打卡打卡打卡
http安全头
NxxCalm的博客
05-01 459
https://www.keycdn.com/blog/http-security-headers https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-XSS-Protection https://developer.mozilla.org/en-US/docs/Web/HTT.
4个常用的HTTP安全头部
真理部
02-26 1174
它曾是世界性图书馆梦的开始，现在它是全球知识的聚集地，它是目前最流行的，人们将应用都部署之上的万维网。 它是敏捷的代表，它不是单一的实体，它由客户端和服务端组成，它的功能在不断地强大，它还有标准。 虽然越来越多的解决方案非常适用于发现什么可行，什么不可行，但它几乎没有一致性，没有易于应用的编程模型。俗话说的好：事情越简单，越安全。简单的事物很难有像XSS，CSRF或点击挟持的漏洞。
HTTP协议安全头部X-Content-Type-Options引入的问题
热门推荐
弱思的专栏
02-15 7万+
原文地址：http://www.jackieathome.net/archives/369.html?utm_source=tuicool&utm_medium=referral 前段时间测试MM反馈了一个问题，在富文本编辑器里上传的图片无法正常呈现。因为Jackie在本机的环境上没有观察类似的现象，而恰好那天测试环境的某个重要配项被改错了，于是Jackie想当然的归类为
HTTP协议安全相关header详解
balance的博客
08-13 3824
http协议有许多可以增强网站安全性，减少用户被攻击的安全策略，本文将依次介绍 1、强制使用https传输，HTTP Strict Transport Security (HSTS) 在各种劫持小广告+多次跳转的网络环境下，可以有效缓解此类现象。同时也可以用来避免从https降级到http攻击(SSL Strip) 服务器设置响应头：Strict-Transport-Security: ma...
swift http plist_网站必备的五大HTTP安全标头 为您的网站提供一些急需的保护
weixin_39736606的博客
10-27 226
网站必备的五大HTTP安全标头用户租用服务器搭建网站，除了服务器上的基本安全策略，网站的安全也需要注意。HTTP安全标头是网站安全的基本组成部分。在超文本传输协议( Hypertext Transfer Protocol ，HTTP)的请求和响应消息中，协议头部分的那些组件。HTTP安全标头实施后，可防止XSS，代码注入，clickjacking等。当用户通过客户端浏览器访问站点时，服务器使用HT...
常见http头部 (二)
comprel的博客
09-24 990
常见http头部 (二)： Last-Modified Last- Modified首部试图提供这个实体最后一次被修改的相关信息。这个值可以 说明很多事情。比如,资源通常都是一台服务器上的文件,因此Iast- Modified 值可能就是服务器的文件系统所提供的最后修改时间。另一方面,对于那些动态创建 的资源(比如,由脚本创建的资源),Last- Modified值可能就是创建响应的时间。 服务器...
4个应该被使用的HTTP安全头部标签
果芽网
05-05 2927
她是从一个构建全世界知识库的梦想而开始的，现在她不仅是全球性的知识存储库而且也是最流行最容易被部署使用的应用平台：万维网。 现在的万维网是高速的象征是由多个客户端和服务器实体共同组成庞大系统，其功能和影响不断拓展。一系列的标准促使着万维网的完善和发展。 虽然互联网带给我们非常多的好处但由于互联网自由开放的特性导致其没有一致性，没有统一应用的模型因此存在着诸多的问题。对人们影响面最广的是
HTTP Public Key Pinning 介绍
自由空间
02-23 1722
上篇文章中，我介绍了由 Google 推动的 Certificate Transparency 技术，它旨在通过开放的审计和监控系统，提高 HTTPS 网站证书安全性。本文要介绍的 HTTP Public Key Pinning（HPKP），也是用来防范由「伪造或不正当手段获得网站证书」造成的中间人攻击，但有着与 CT 不同的思路。 我们知道，受信任的 CA（证书颁发机构）有好几百个，他们成为整个
HTTP常见状态码
weixin_41436338的博客
08-13 2万+
大家都知道http状态码从1xx到5xx 总共有好几百个要想记住这些状态码并不是个容易事，本人每天看一次状态码，尝试各种背，发现这样并没有什么卵用，于是开启了变相图文理解记忆法方便自己记忆。 有一天我们去给猫村的猫妹送信。（对，就是那个全部是猫的村落） 此时信就是我们在客服端发出的请求，猫妹就是服务器 在你达到猫妹家门口的时候，你喊出了送信暗号，结果隔壁大爷对你说猫妹搬到猫街200号去了...
2010六级必备单词速记与解析
本资源是针对2010年英语六级考试的高频词汇速记版，旨在帮助考生高效记忆和掌握各类核心词汇。以下是一些精选的重要单词及其释义： 1. **Constrain** [kən'strein] - vt. 强迫、抑制或拘束，表示对某人行为或行动...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值