网站安全头如何加固

wen 开源项目 2026-06-27 31

本文目录导读：

网站安全头如何加固

核心安全头及配置方法
如何检查和验证
分场景推荐配置清单
服务器配置示例
常见误区与注意事项
一个安全的起步配置

网站安全头（HTTP Security Headers）是服务器通过HTTP响应头向浏览器传递的安全指令，能有效防御XSS、点击劫持、MIME嗅探等常见攻击，加固安全头是提升网站安全性的低成本、高收益措施。

以下是详细的加固指南，包含关键头部、配置方法及最佳实践。

核心安全头及配置方法

你需要根据网站的实际需求，在服务器上配置以下关键头部，配置位置因服务器软件（Nginx、Apache、IIS）或应用框架而异。

`Content-Security-Policy` (CSP) - 最强大但最复杂

作用：防止XSS、数据注入攻击，它定义了允许加载资源（脚本、样式、图片等）的源。

配置示例（严格模式）：

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; frame-ancestors 'none'; base-uri 'self'

解释：只允许加载同源资源。frame-ancestors 'none' 防止被用于点击劫持。

最佳实践：
- 不要使用 'unsafe-inline'（除非必须）,它会削弱保护。
- 使用 nonce- 或 hash- 来允许内联脚本。
- 逐步部署：先用 Content-Security-Policy-Report-Only 模式观察效果,确认无误再切换到强制模式。
- 使用 report-uri 或 report-to 收集违规报告。

`X-Content-Type-Options: nosniff`

作用：防止浏览器对MIME类型进行嗅探，强制浏览器使用服务器声明的 Content-Type,避免将非JS文件错误解析为JS脚本。
配置：X-Content-Type-Options: nosniff

`Strict-Transport-Security` (HSTS)

作用：强制浏览器只能通过HTTPS访问网站,防止SSL剥离攻击。
配置示例：
```
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
```
- max-age：建议设为至少1年（31536000秒）。
- includeSubDomains：对子域名同样生效。
- preload：提交给浏览器预加载列表（强烈建议，但需确保所有子域名都支持HTTPS）。
注意：开启后，如果一段时间内无法提供HTTPS,用户将无法访问。

`X-Frame-Options: DENY`

作用：防止点击劫持攻击，禁止页面被嵌入到 <frame>、<iframe> 或 <object> 中。
配置：
- X-Frame-Options: DENY （完全禁止,最安全）
- X-Frame-Options: SAMEORIGIN （仅允许同源iframe,如用于第三方支付回调页面）

`Referrer-Policy`

作用：控制HTTP请求中 Referer 头的信息量，防止泄露URL中的敏感信息（如Token）。
配置示例：
```
Referrer-Policy: strict-origin-when-cross-origin
```
这是目前推荐的平衡安全与功能的策略：同源请求发送完整URL，跨域请求只发送来源,HTTPS降级到HTTP时不发送。

`Permissions-Policy` (原 `Feature-Policy`)

作用：控制浏览器可以使用的API和功能（如摄像头、麦克风、地理位置、传感器等）,限制第三方内容滥用。
配置示例（严格模式）：
```
Permissions-Policy: camera=(), microphone=(), geolocation=(), interest-cohort=()
```
- 可以禁用不需要的功能，或只允许自域名使用 self。

`Cache-Control`

作用：控制浏览器和CDN的缓存行为,防止静态资源被意外缓存导致问题。
配置示例：
- 敏感页面（如用户信息、订单）：Cache-Control: no-store, no-cache, must-revalidate, private
- 静态资源（如CSS、JS、图片）：Cache-Control: public, max-age=31536000, immutable

如何检查和验证

配置完成后,务必进行验证：

在线扫描工具：
- SecurityHeaders.com：全球最权威，会给出评级,这是首选。
- Mozilla Observatory：提供详细报告和评分。
- CSP Evaluator：专门检查CSP配置问题。
浏览器开发者工具：
- 打开 Network 面板，点击任意请求，查看 Response Headers 列表,确认目标头部已生效。

分场景推荐配置清单

信息展示类网站（博客、官网）

安全级别：高,可以接受较严格的头。

推荐配置：

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self'; frame-ancestors 'none'; form-action 'self'" always;

交互式Web应用（电商、管理系统）

安全级别：中高,需要平衡安全性与第三方库的兼容性。

推荐配置（示例，需根据实际使用的CDN、统计工具调整CSP）：

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;  # 可能用到iframe
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; # 先不加preload
# CSP需逐步测试，以下仅为示例
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://www.googletagmanager.com; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; img-src 'self' data: https://www.google-analytics.com; frame-ancestors 'self'; form-action 'self'; connect-src 'self' https://api.example.com" always;

服务器配置示例

Nginx

server {
    listen 443 ssl;
    # ... SSL配置 ...
    # 配置安全头
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "DENY" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    add_header Content-Security-Policy "default-src 'self'; frame-ancestors 'none'" always;
    # ...
}

Apache

<IfModule mod_headers.c>
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "DENY"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
    Header always set Content-Security-Policy "default-src 'self'; frame-ancestors 'none'"
</IfModule>

常见误区与注意事项

不要一次性开启所有安全头：特别CSP和HSTS。
- CSP：先用 Content-Security-Policy-Report-Only，收集一周的违规报告,再切换到强制模式。
- HSTS：先只设短 max-age（如5分钟），确认HTTPS一切正常,再逐步加到1年。
务必检查第三方CDN：如果你使用CDN，CDN可能会覆盖或丢弃你的安全头,需要在CDN配置中确保安全头能透传或直接在CDN层添加。
考虑兼容性：虽然现代浏览器都支持，但极低版本浏览器（如IE6）可能忽略某些头,不过这点影响已可忽略。
前后端分离：如果前后端分离，安全头应配置在提供前端静态资源的Web服务器（Nginx/CDN）上，而不是后端API服务器（除非API也返回HTML）。
错误报告配置：CSP的 report-uri 可以发往自己的后端服务进行分析，可考虑使用开源的 csp-report-server 或商业SaaS服务。