安全标头

Web 课程的一部分

一份安全评审落到你桌上，上面列了十四条，其中六条最后都归结为你没有发送的响应头。这一类加固有个好消息：它不是重新设计，而是反向代理或者框架配置里的那么几行，而每一行都堵死了一整类攻击，否则要防住它们就得改代码。它们没有哪一个是万能的，但每一个都很便宜。这一课讲的就是这套常用组合，以及怎么查出你已经有了哪些。

响应头是服务器附在响应上的一行元数据，跟真正的内容并排放着。浏览器在对主体做任何事之前，会先把它们读一遍。 ...