Nginx 统一配置示例
Nginx 统一配置示例
add_header Content-Security-Policy "default-src 'self'" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;头部与防御目标
| 头部 | 防御目标 |
|---|---|
| CSP | XSS 与资源注入 |
| HSTS | SSL 剥离与降级 |
| X-Content-Type-Options | MIME 嗅探 |
| X-Frame-Options / frame-ancestors | 点击劫持 |
| Referrer-Policy | Referer 信息泄露 |
| Permissions-Policy | 浏览器特性滥用 |
安全头不能修复漏洞，只是纵深防御的一层；上线后用开发者工具或响应头检查工具确认实际下发。