10个关键设置打造网站安全头部 1. Content-Security-Policy

作用：控制页面可加载的资源，防止XSS攻击和数据注入。

配置示例：Content-Security-Policy: default-src 'self'; script-src 'self' https://; img-src 'self' data:;

2. X-Frame-Options

作用：防止页面被嵌入iframe，从而避免点击劫持攻击。

配置示例：X-Frame-Options: DENY

3. Strict-Transport-Security

作用：强制浏览器使用HTTPS，防止SSL剥离攻击。

配置示例：Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

4. X-XSS-Protection

作用：启用浏览器内置的XSS过滤器。

配置示例：X-XSS-Protection: 1; mode=block

5. Referrer-Policy

作用：控制Referer头的发送，防止敏感信息泄露。

配置示例：Referrer-Policy: strict-origin-when-cross-origin

6. X-Content-Type-Options

作用：避免浏览器误判文件类型。

配置示例：X-Content-Type-Options: nosniff

7. Feature-Policy

作用：限制某些API的使用，增强隐私保护。

配置示例：Feature-Policy: geolocation 'none'; camera 'none'

8. Permissions-Policy

作用：禁用某些敏感API，防止恶意网站滥用。

配置示例：Permissions-Policy: geolocation=, camera=, microphone=

9. Expect-CT

作用：强制证书透明度，防止错误签发SSL证书。

配置示例：Expect-CT: max-age=86400, enforce, report-uri="https:///report"

10. Access-Control-Allow-Origin

作用：仅允许特定域名访问资源，减少攻击面。

配置示例：Access-Control-Allow-Origin: https://trusted

通过以上10个关键设置，可以有效提升网站的安全性，防止各种安全威胁。建议站长定期检查安全头部配置，并根据实际情况进行调整。

---