Question 1

每个网站都应该有哪些安全标头？

Accepted Answer

最关键的安全标头：防止XSS的Content-Security-Policy(CSP)、强制使用HTTPS的Strict-Transport-Security(HSTS)、防止点击劫持的X-Frame-Options或CSP frame-ancestors、阻止MIME嗅探的X-Content-Type-Options: nosniff，以及控制Referrer泄露的Referrer-Policy。限制浏览器功能访问的Permissions-Policy也越来越重要。

Question 2

什么是HSTS，为什么重要？

Accepted Answer

HTTP严格传输安全(HSTS)告诉浏览器在指定时间内(max-age)对某域名始终使用HTTPS而非HTTP。一旦浏览器看到此标头，即使用户手动输入http://也会拒绝使用普通HTTP连接。includeSubDomains指令将其扩展到所有子域名，preload允许将站点列入浏览器预加载列表。

Question 3

Access-Control-Allow-Origin等CORS标头有什么作用？

Accepted Answer

CORS（跨源资源共享）标头控制哪些源可以向您的服务器发出跨源请求。Access-Control-Allow-Origin指定允许的源（对认证端点使用特定源而非*）。Access-Control-Allow-Methods列出允许的HTTP方法，Access-Control-Allow-Headers列出允许的请求标头。这些标头设置在服务器响应上而非请求上。

Question 4

Cache-Control和ETag如何配合工作？

Accepted Answer

Cache-Control设置缓存策略（如max-age=3600、no-cache、no-store）。ETag是响应内容的指纹。当缓存响应过期时，浏览器在If-None-Match请求标头中发送ETag。如果内容未更改，服务器回复304 Not Modified（无正文），节省带宽。Cache-Control: no-cache意味着'始终重新验证'而非'不缓存'。

Question 5

Content-Security-Policy是什么，如何设置？

Accepted Answer

CSP是一个响应标头，告诉浏览器允许加载哪些来源的脚本、样式、图片等资源。像'default-src self; script-src self https://cdn.example.com'这样的基本CSP会阻止来自自身源和指定CDN以外的所有资源。先用Content-Security-Policy-Report-Only测试而不阻塞，然后切换到强制模式。避免'unsafe-inline'和'unsafe-eval'指令，因为它们会削弱XSS保护。

HTTP头部分析器

常见问题

Comments & Feedback