security-headers-configuration

安全标头配置

目录

• 概述
• 适用场景
• 快速开始
• 参考指南
• 最佳实践

概述

实施全面的 HTTP 安全标头，保护 Web 应用免受 XSS、点击劫持、MIME 嗅探及其他基于浏览器的攻击。

适用场景

• 部署新的 Web 应用
• 修复安全审计发现的问题
• 满足合规要求
• 加强浏览器安全性
• API 安全
• 保护静态网站

快速开始

最简可运行示例：

// security-headers.js
const helmet = require("helmet");

function configureSecurityHeaders(app) {
  // Comprehensive Helmet configuration
  app.use(
    helmet({
      // Content Security Policy
      contentSecurityPolicy: {
        directives: {
          defaultSrc: ["'self'"],
          scriptSrc: [
            "'self'",
            "'unsafe-inline'", // Remove in production
            "https://cdn.example.com",
            "https://www.google-analytics.com",
          ],
          styleSrc: [
            "'self'",
            "'unsafe-inline'",
            "https://fonts.googleapis.com",
          ],
          fontSrc: ["'self'", "https://fonts.gstatic.com"],
          imgSrc: ["'self'", "data:", "https:", "blob:"],
          connectSrc: ["'self'", "https://api.example.com"],
// ... (see reference guides for full implementation)

参考指南

references/ 目录中的详细实现：

指南	内容
Node.js/Express 安全标头	Node.js/Express 安全标头
Nginx 安全标头配置	Nginx 安全标头配置
Python Flask 安全标头	Python Flask 安全标头
Apache .htaccess 配置	Apache .htaccess 配置
安全标头测试脚本	安全标头测试脚本

最佳实践

✅ 应该做

• 全程使用 HTTPS
• 实施严格的 CSP
• 启用带预加载的 HSTS
• 使用 X-Frame-Options 阻止页面被嵌入框架
• 防止 MIME 嗅探
• 报告 CSP 违规
• 定期测试标头
• 使用安全扫描工具

❌ 不要做

• 在 CSP 中允许 unsafe-inline
• 忽略子域名上的 HSTS
• 忽略 CSP 违规
• 使用过于宽松的策略
• 忘记测试更改