php防乱码header头,防范xss代码恶意攻击PHP_header头设置

xss攻击：cross site scripting

加上这些header头，可以防止xss攻击if (!headers_sent()) {

header('X-Frame-Options: SAMEORIGIN');

header('X-XSS-Protection: 1; mode=block');

header('X-Content-Type-Options: nosniff');

}

X-Frame-Options

X-Frame-Options 响应头有三个可选的值：

DENY：页面不能被嵌入到任何iframe或frame中；

SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中；

ALLOW-FROM：页面允许frame或frame加载。

Nginx配置:

add_header X-Frame-Options SAMEORIGIN

Apache配置:

Header always append X-Frame-Options SAMEORIGIN

X-XSS-Protection

2.X-XSS-Protection头的三个值

0： 表示关闭浏览器的XSS防护机制

1：删除检测到的恶意代码， 如果响应报文中没有看到X-XSS-Protection 字段，那么浏览器就认为X-XSS-Protection配置为1，这是浏览器的默认设置

1; mode=block：如果检测到恶意代码，在不渲染恶意代码