今天在網上浪了許久，只是為了找乙個很簡單的配置，卻奈何怎麼都找不到。
好不容易找到了，我覺得還是記錄下來的好，或許省得許多人像我一樣浪費時間。
如果**可以嵌入到iframe元素中，則攻擊者可以在社交場合設計一種情況，即受害者被指向攻擊者控制的**，該**構成目標**的框架。
然後攻擊者可以操縱受害者在目標**上不知不覺地執行操作。
即使有跨站點請求偽造保護，這種攻擊也是可能的，並且被稱為「clickjacking」，有關更多資訊，請參閱
。為了避免這種情況，建立了「x-frame-options」標題。
此標題允許**所有者決定允許哪些**構建其**。
通常的建議是將此標頭設定為「sameorigin」，它只允許屬於同源策略的資源構成受保護資源的框架，或者設定為「deny」，它拒絕任何資源（本地或遠端）嘗試框架也提供「x-frame-options」標頭的資源。
如下所示：
x-frame-options：sameorigin
請注意，「x-frame-options」標題已被棄用，將由內容安全策略中的frame-options指令替換，該指令仍處於活動開發階段。
但是，「x-frame-options」標題目前具有更廣泛的支援，因此仍應實施安全措施。
說白了呢，就是讓你的**禁止被巢狀。
其實也很簡單（我還在網上蒐羅了半天）
配置檔案config
內容安全策略（csp）旨在允許web應用程式的所有者通知客戶端瀏覽器有關應用程式的預期行為（包括內容源，指令碼源，外掛程式型別和其他遠端資源），這允許瀏覽器更多智慧型地執行安全約束。
雖然csp本質上是複雜的，如果沒有適當部署它可能會變得混亂，乙個應用良好的csp可以大大降低利用大多數形式的跨站點指令碼攻擊的機會。
需要整個帖子來深入了解csp允許的功能和不同設定，因此建議進一步閱讀。
以下是mozilla開發者網路對csp的精彩介紹性帖子：
請注意，使用csp的主要問題涉及策略錯誤配置（即使用「不安全內聯」），或使用過於寬鬆的策略，因此在實施csp時應特別注意。
這個呢，是將你引入的一切，加乙個限制，這樣如果別人想通過一些手段在你的**加一些不好的東西，我們就可以有效地防止了
其中預設值有以下這些：
一種稱為mime型別混淆的漂亮攻擊是建立此標頭的原因。
大多數瀏覽器採用稱為mime嗅探的技術，其中包括對教育伺服器響應的內容型別進行教育猜測，而不是信任標頭的內容型別值。
在某些情況下，瀏覽器可能會被欺騙做出錯誤的決定，允許攻擊者在受害者的瀏覽器上執行惡意**。
有關更多資訊，請參閱
。 「x-content-type-options」可用於通過將此標頭的值設定為「nosniff」來防止發生這種「受過教育」的猜測，如下所示：
x-content-type-options：nosniff
請注意，internet explorer，chrome和safari都支援此標題，但firefox團隊仍在辯論它：
現代瀏覽器包括一項有助於防止反映跨站點指令碼攻擊的功能，稱為xss過濾器。
「x-xss-protection」標頭可用於啟用或禁用此內建功能（目前僅在internet explorer，chrome和safari中支援此功能）。
建議的配置是將此標頭設定為以下值，這將啟用xss保護並指示瀏覽器在從使用者輸入插入惡意指令碼時阻止響應，而不是清理：
x-xss-protection：1;
mode = block
。
如果沒有從伺服器傳送「x-xss-protection」標頭，internet explorer和chrome將預設清理任何惡意資料。
請注意，x-xss-protection標頭已被棄用，將被內容安全策略中的reflected-xss指令取代，該指令仍處於活動開發階段。
但是，「x-xss-protection」標題目前有更廣泛的支援，因此仍應實施安全措施。
0 – 關閉對瀏覽器的xss防護1 – 開啟xss防護
1; mode=block – 開啟xss防護並通知瀏覽器阻止而不是過濾使用者注入的指令碼。
1; report= – 這個只有chrome和webkit核心的瀏覽器支援，這種模式告訴瀏覽器當發現疑似xss攻擊的時候就將這部分資料post到指定位址。
配置方法
這就是困擾了我許久，網上又找不到的幾個安全配置
文中介紹引自 ：
如果大家想要更深入了解，這是我一下午找的資料
**安全型檢測
學習的道路是漫長的
Flex socket 安全策略請求
最近遇到這個問題，去網上找了一些資料說請是下面這樣的 1,首先檢測目標伺服器的843埠是否提供安全策略 2,如果1沒有檢測到策略，則檢測actionscript是否使用了security.loadpolicyfile xmlsocket 手段提供安全策略，如果還沒檢測到，則使用第3步檢測 3,檢測目...
HTTP 內容安全策略（CSP）詳細
內容安全策略 csp 其核心思想十分簡單 通過傳送乙個 csp 頭部，來告訴瀏覽器什麼是被授權執行的與什麼是需要被禁止的。其被譽為專門為解決xss攻擊而生的神器。1.前言 內容安全策略 csp 是乙個額外的安全層，用於檢測並削弱某些特定型別的攻擊，包括跨站指令碼 xss 和資料注入攻擊等。無論是資料...
MySQL安全策略
資料是企業核心資產，資料對企業而言是最重要的工作之一。稍有不慎，極有可能發生資料無意洩露，甚至被黑客惡意竊取的風險。每年業界都會傳出幾起大事件，某知名或不知名的公司被脫褲 拖庫的諧音，意思是整個資料庫被黑客盜取 之類的。從資料安全上也可以分為外網安全及內部操作安全，下面分別討論一下。內部操作安全策略...