http/https安响应头

最新推荐文章于 2024-04-18 11:01:49 发布

weixin_36276193

最新推荐文章于 2024-04-18 11:01:49 发布

阅读量879

点赞数 1

分类专栏： Java后端开发

本文链接：https://blog.csdn.net/weixin_36276193/article/details/82469073

版权

本文介绍了几种常见的HTTP安全响应头，如Strict-Transport-Security、X-Frame-Options、X-XSS-Protection、X-Content-Type-Options和X-Content-Security-Policy，以及它们在防止网络安全攻击中的作用。此外，还提到了在Spring Security框架下如何配置这些安全响应头。

摘要由CSDN通过智能技术生成

1、一些安全相关的HTTP响应头

现代浏览器提供了一些安全相关的响应头，使用这些响应头一般只需要修改服务器配置即可，不需要修改程序代码，成本很低

1.1Strict-Transport-Security（https环境下）

HTTP Strict Transport Security，简称为HSTS。它允许一个HTTPS网站，要求浏览器总是通过HTTPS来访问它。现阶段，除了Chrome浏览器，Firefox4+，以及Firefox的NoScript扩展都支持这个响应头。

我们知道HTTPS相对于HTTP有更好的安全性，而很多HTTPS网站，也可以通过HTTP来访问。开发人员的失误或者用户主动输入地址，都有可能导致用户以HTTP访问网站，降低了安全性。一般，我们会通过Web Server发送301/302重定向来解决这个问题。现在有了HSTS，可以让浏览器帮你做这个跳转，省一次HTTP请求。另外，浏览器本地替换可以保证只会发送HTTPS请求，避免被劫持。

要使用HSTS，只需要在你的HTTPS网站响应头中，加入下面这行：

strict-transport-security: max-age=16070400; includeSubDomains

includeSubDomains是可选的，用来指定是否作用于子域名。支持HSTS的浏览器遇到这个响应头，会把当前网站加入HSTS列表，然后在max-age指定的秒数内，当前网站所有请求都会被重定向为https。即使用户主动输入http://或者不输入协议部分，都将重定向到https://地址。

Chrome内置了一个HSTS列表，默认包含Google、Paypal、Twitter、Linode等等服务。我们也可以在Chrome输入chrome://net-internals/#hsts，进入HSTS管理界面。在这个页面，你可以增加/删除/查询HSTS记录。例如，你想一直以https访问某网址，通过“add Domain”加上去就好了。查看Chrome内置的全部HSTS列表，或者想把自己的网站加入这个列表。