安全性http響應頭是網路防護中非常重要的一環，如今，瀏覽器支援了一些http安全相關的響應頭，使用這些響應頭一般只需要修改伺服器配置即可，不需要修改程式**，成本很低。
[x-frame-options]
這個header主要用來配置哪些**可以通過frame來載入資源。它主要是用來防止ui redressing 補償樣式攻擊。
openas tomcat預設值：
sameorigin
[x-content-type-options]
這個header主要用來防止在ie9、chrome和safari中的mime型別混淆攻擊。
openas tomcat預設值：
nosniff
[x-xss-protection]
這個header主要是用來防止瀏覽器中的反射性xss。
openas tomcat預設值：
1; mode=block
[content-security-policy]
這個header主要是用來定義頁面可以載入哪些資源，減少xss的發生。
openas tomcat預設值：
script-src 'self'; default-src 'self'
[x-download-options]
openas tomcat預設值：
noopen
[strict-transport-security]
這個header主要的作用是強制客戶端（如瀏覽器）使用https與伺服器建立鏈結，以減少會話劫持的風險。
openas tomcat預設值：
max-age=31536000; includesubdomains
Http請求頭安全策略
今天在網上浪了許久，只是為了找乙個很簡單的配置，卻奈何怎麼都找不到。好不容易找到了，我覺得還是記錄下來的好，或許省得許多人像我一樣浪費時間。如果 可以嵌入到iframe元素中，則攻擊者可以在社交場合設計一種情況，即受害者被指向攻擊者控制的 該 構成目標 的框架。然後攻擊者可以操縱受害者在目標 上不知...
HTTP頭的檢視
在chrome裡開啟開發者工具，選中network。找到url即可看到此url的http頭。此外 要區別f5和crtl f5的區別 如果是前者，請求的是有快取的頁面，可能之前頁面存在的異常依然存在 後者傳送請求瀏覽器直接向目標url傳送請求，而不使用瀏覽器快取的資料。圖一常見的請求頭圖二響應頭圖三響...
Http的請求頭和響應頭
請求頭 accept 用於告訴伺服器，客戶及支援的資料型別 accept charset 用於高數伺服器，客戶機採用的編碼 accept encoding 客戶及支援的資料壓縮格式 host if modified since 資源快取時間 referer 從哪個資源訪問伺服器的 防盜煉 user ...