1. HTML
1.1 head 設(shè)置charset = UTF-8
- 防止IE下自動使用 UTF7
1.2 content-type JSON時 需要明確設(shè)置
- 防止給JSON中注入js
2 HTTP響應(yīng)頭
2.1 X-XSS-PROTECTION: 1;mode=block
- 開啟瀏覽器XSS過濾器
2.2 X-Frame-Options:deny
- 響應(yīng)頭會被禁止加載到frame中
2.3 X-Content-Type-Options:nosniff
- 禁止瀏覽器做MIME嗅探
2.4 [重要] Content-Security-Policy: default-src:'self'
- 只允許本origin的資源
- default-src = 各種資源
- script -src , img -src 腳本資源， 圖片資源
可以設(shè)置的值除了 self 之外 script-src還可以設(shè)置 unsafe-inline 但一定要跟 nounce
2.5 Set-Cookie:key = value; HttpOnly
- 設(shè)置Cookie成為只讀
