在当今的数字时代，安全性是任何网站或在线平台的首要任务。保护您的网站免受潜在攻击的最有效方法之一是使用安全标头。Nginx是一种流行的Web服务器软件，提供各种安全标头，可以对其进行配置以保护您的网站免受恶意攻击。
什么是安全标头
安全标头是由 Web 服务器发送到客户端 Web 浏览器的 HTTP 响应标头。这些标头通过指定 Web 浏览器在与网站交互时的行为方式，为网站提供额外的安全性。
这些标头是防止恶意攻击（如跨站点脚本 （XSS） 攻击、点击劫持攻击和其他 Web 应用程序攻击）的简单方法。它们还有助于确保只有合法用户才能访问该网站。
为什么安全标头很重要
安全标头有助于保护您的网站免受各种安全漏洞的侵害。通过实施它们，您可以降低 XSS 和点击劫持等攻击的风险。此外，许多安全标头通过减少您的网站收到的请求数量来帮助提高网站的性能。这可以带来更快的加载时间和更好的整体用户体验。
在 nginx 上配置安全标头。
在我们开始在Nginx上配置安全标头之前，我们需要在您的服务器上安装Nginx。有关安装 Nginx 的其他资源，请阅读下面的帖子：
- How to install Nginx on Ubuntu Linux √
- How to install Nginx on Rocky Linux √
以下是可以添加到Nginx Web服务器配置中的更多安全标头：
- 内容安全策略 （CSP）。
内容安全策略 （CSP） 是一个 HTTP 标头，允许您指定网站可以从中加载资源（如脚本、图像和样式表）的源。通过指定 CSP，可以防止恶意脚本和其他资源加载到您的网站上。
将以下内容添加到 Nginx 配置以添加 Content-Security-Policy 标头：
<span class="pln">add_header </span><span class="typ">Content</span><span class="pun">-</span><span class="typ">Security</span><span class="pun">-</span><span class="typ">Policy</span> <span class="str">"default-src 'self';"</span><span class="pln"> always</span><span class="pun">;</span>
-
- X 帧选项标头。
此标头可以帮助防止点击劫持攻击，点击劫持攻击可以通过将恶意链接或按钮隐藏在网站上的不可见框架内来诱骗用户单击恶意链接或按钮。X-Frame-Options 标头可以通过指示浏览器不要在框架或 iframe 中显示网站来防止这种情况。
将以下内容添加到您的 Nginx 配置中以添加 X-Frame-Options 标头：
<span class="pln">add_header X</span><span class="pun">-</span><span class="typ">Frame</span><span class="pun">-</span><span class="typ">Options</span> <span class="str">"SAMEORIGIN"</span><span class="pun">;</span>
这将允许网站显示在同一域的框架中，但不能显示来自外部来源。
- X-XSS 保护标头。
X-XSS-Protection 标头有助于防止跨站点脚本 （XSS） 攻击，这些攻击可能允许攻击者将恶意脚本注入其他用户查看的网页中。标头指示浏览器启用其内置的 XSS 保护筛选器。
将以下内容添加到 Nginx 配置以添加 X-XSS-Protection 标头：
<span class="pln">add_header X</span><span class="pun">-</span><span class="pln">XSS</span><span class="pun">-</span><span class="typ">Protection</span> <span class="str">"1; mode=block"</span><span class="pun">;</span>
-
- X-内容类型-选项标头。
X-内容类型选项标头可以帮助防止 MIME 类型的嗅探，当浏览器尝试猜测正在提供的文件的 MIME 类型时，可能会发生这种情况。如果浏览器错误地猜测文件类型并将其作为代码执行，则可能存在安全风险。
将以下内容添加到您的 Nginx 配置中以添加 X-Content-Type-Options 标头：
<span class="pln">add_header X</span><span class="pun">-</span><span class="typ">Content</span><span class="pun">-</span><span class="typ">Type</span><span class="pun">-</span><span class="typ">Options</span> <span class="str">"nosniff"</span><span class="pun">;</span>
这将指示浏览器不执行 MIME 类型的探查，并信任服务器声明的内容类型。
- 反向链接策略标头。
反向链接策略标头可以帮助防止敏感信息通过 HTTP 引用标头泄露。标头指定应在引用标头中发送多少有关引用页面的信息。
将以下内容添加到您的 Nginx 配置中以添加反向链接策略标头：
<span class="pln">add_header </span><span class="typ">Referrer</span><span class="pun">-</span><span class="typ">Policy</span> <span class="str">"no-referrer"</span><span class="pun">;</span>
这将指示浏览器在导航到另一个网站时不要发送引荐来源网址标头。
- 严格传输安全 （HSTS）。
严格传输安全 （HSTS） 标头指示 Web 浏览器始终使用 HTTPS 连接到网站，即使用户在地址栏中键入 HTTP 也是如此。这有助于防止可以拦截和修改未加密 HTTP 流量的攻击，例如中间人攻击。
要在 Nginx 中配置 HSTS，请将以下行添加到服务器块：
<span class="pln">add_header </span><span class="typ">Strict</span><span class="pun">-</span><span class="typ">Transport</span><span class="pun">-</span><span class="typ">Security</span> <span class="str">"max-age=31536000; includeSubDomains"</span><span class="pln"> always</span><span class="pun">;</span>
-
- X 允许的跨域策略。
X-Permitted-Cross-Domain-Policies标题允许您控制其他网站是否可以使用Adobe Flash或Adobe Acrobat加载您网站的资源。此标头仅适用于您的网站使用 Adobe Flash 或 Acrobat 的情况。
要在 Nginx 中配置 X 允许跨域策略标头，请将以下行添加到服务器块或位置块：
<span class="pln">add_header X</span><span class="pun">-</span><span class="typ">Permitted</span><span class="pun">-</span><span class="typ">Cross</span><span class="pun">-</span><span class="typ">Domain</span><span class="pun">-</span><span class="typ">Policies</span> <span class="str">"none"</span><span class="pun">;</span>
这将配置 X-Permitted-Cross-Domain-Policies-header 标头，以防止其他网站使用 Adobe Flash 或 Acrobat 加载您网站的资源。
总之，实现安全标头是保护 Web 应用程序的重要步骤。通过在 Nginx Web 服务器上配置 Content-Security-Policy （CSP）、X-XSS-PROTECTION、X-Content-Type-Options、X-Frame-Options、Strict-Transport-Security （HSTS）、Referrer-Policy 和 X-Allowedted-Cross-Domain-Policiess-headers，您可以大大降低跨站点脚本 （XSS）、点击劫持、MIME 类型嗅探和中间人攻击等攻击的风险。
