Nginx安全加固系列:防范XSS

XSS,就是跨站脚本攻击。就是浏览器渲染HTML的过程中,执行了不被预期的脚本指令,XSS就发生了。

所以,XSS就是一种HTML注入攻击,就是在我们的HTML页面上注入了恶意代码。最典型的就是在发表评论这些页面,在发表的文字内容里携带了恶意的HTML代码,例如在发表的内容里面携带了这么一段代码:

复制代码
<script>alert(document.cookie);</script>

如果不对用户发表的内容文字做安全扫描,那么上面的这段代码就成功嵌入到页面当中。当浏览器访问这个页面的时候,这段脚本也将被认为是页面的一部分,从而得到执行,就会弹出对话框显示浏览器的Cookie信息。

这就是XSS攻击的原理

防止XSS攻击需要做很多措施,Nginx添加响应头,是其中的一种措施,但这个并不代表能完全防止XSS攻击。

Nginx通过以下配置,可以添加防止XSS的响应头

复制代码
http {
  add_header X-XSS-Protection "1; mode=block";
}

解释一下这个配置, add_header是Nginx添加响应头的命令,X-XSS-Protection是防止XSS攻击的响应头,它有几个参数值:

复制代码
值 1 :启用XSS过滤器
值 0:禁用XSS过滤器

mode 参数可以配置过滤器行为。
block: 如果检测到XSS攻击,直接阻止页面加载。
report=<reporting-URI>: 如果检测到XSS攻击,将报告发送到指定的URI。

看一下百度,它也是配置了X-XSS-Protection响应标头

相关推荐
2501_915373882 小时前
Redis线程安全深度解析:单线程模型的并发智慧
数据库·redis·安全
恰薯条的屑海鸥6 小时前
零基础在实践中学习网络安全-皮卡丘靶场(第十五期-URL重定向模块)
学习·安全·web安全·渗透测试·网络安全学习
Tipray20066 小时前
让敏感数据在流转与存储中始终守护在安全范围
安全
前端页面仔7 小时前
易语言是什么?易语言能做什么?
开发语言·安全
冰橙子id12 小时前
centos7编译安装LNMP架构
mysql·nginx·架构·centos·php
Guheyunyi14 小时前
监测预警系统重塑隧道安全新范式
大数据·运维·人工智能·科技·安全
IT科技那点事儿16 小时前
引领AI安全新时代 Accelerate 2025北亚巡展·北京站成功举办
人工智能·安全
恰薯条的屑海鸥20 小时前
零基础在实践中学习网络安全-皮卡丘靶场(第十四期-XXE模块)
网络·学习·安全·web安全·渗透测试
20242817李臻20 小时前
20242817李臻-安全文件传输系统-项目验收
数据库·安全
DevSecOps选型指南1 天前
2025软件供应链安全最佳实践︱证券DevSecOps下供应链与开源治理实践
网络·安全·web安全·开源·代码审计·软件供应链安全