网站安全之HTTP头部安全策略组合评分基线

网站安全中，HTTP头部安全策略常被忽视，但它却是防御XSS、点击劫持、信息泄露等攻击的第一道防线。一个完整的头部安全策略组合应包含至少8项关键配置，我们将其分为“基础防护层”、“内容安全层”和“高级加固层”三个层级进行评分。基线总分设定为100分，每项配置根据其重要性和实施难度赋予不同分值。你的网站能得多少分？下面我们直接进入各项策略的详细解读与评分标准。

这一层级的策略旨在解决最普遍的安全威胁，如信息泄露、MIME类型混淆和点击劫持，是每个网站必须实施的基础配置。

1. X-Frame-Options (10分)：用于防御点击劫持攻击。它指示浏览器是否允许当前页面在"<frame>"、"<iframe>"、"<embed>"或"<object>"中加载。最佳实践是设置为"DENY"或"SAMEORIGIN"。配置缺失或设置为"ALLOW-FROM"（已废弃）将不得分。

# Nginx 配置示例
add_header X-Frame-Options "SAMEORIGIN" always;

2. X-Content-Type-Options (10分)：阻止浏览器进行MIME类型嗅探。当服务器发送的"Content-Type"头部与文件实际类型可能不一致时，浏览器可能会尝试猜测并执行，这可能导致安全风险。必须设置为"nosniff"。配置即得满分。

# Apache 配置示例
Header always set X-Content-Type-Options "nosniff"

3. Referrer-Policy (10分)：控制从当前网站跳转到其他站点时，Referrer头部的信息携带量。过于详细的Referrer信息可能泄露敏感会话令牌或用户隐私。推荐设置为"strict-origin-when-cross-origin"，它在同源时发送完整URL，跨域时仅发送源（协议+主机+端口），而降级到HTTPS时则不发送。根据策略的严格程度评分。

# 通用配置示例
add_header Referrer-Policy "strict-origin-when-cross-origin";

4. Permissions-Policy (10分)：前身为Feature-Policy，用于控制浏览器高级功能（如摄像头、地理位置、唤醒锁等）的使用。这可以限制恶意脚本滥用这些功能。一个严格的策略能有效减少攻击面。根据禁用非必要功能的全面性进行评分。

# 禁用多项非必要功能的示例
add_header Permissions-Policy "camera=(), geolocation=(), microphone=(), payment=()";

这一层是HTTP安全头部的核心，专注于缓解内容注入攻击（如XSS）和数据泄露，策略配置需要更精细的调整。

1. Content-Security-Policy (20分)：这是防御XSS和数据注入攻击最强大的武器。它通过白名单机制，规定浏览器只允许加载和执行来自指定源的脚本、样式、图片等资源。一个严格的CSP应包含"default-src 'none'"，并逐一明确指定"script-src"、"style-src"、"img-src"、"font-src"、"connect-src"等指令。使用"'self'"、"'nonce-{随机值}'"或哈希值来允许可信内联脚本。策略的严格程度和报告机制（"report-uri"或"report-to"）是评分关键。

# 一个相对严格的CSP示例
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'nonce-{RANDOM}'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; connect-src 'self'; report-uri /csp-violation-report-endpoint;";

2. Strict-Transport-Security (10分)：强制浏览器只通过HTTPS与网站通信，防范中间人攻击和协议降级。配置应包含较长的"max-age"（如31536000秒，即一年）、包含"includeSubDomains"指令，并建议加入"preload"指令以便预载入浏览器HSTS列表。根据参数完整性评分。

# HSTS 标准配置
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

3. X-XSS-Protection (5分)：虽然现代浏览器已逐步废弃此头部，且主要依赖CSP，但在旧版浏览器中仍能提供一层额外的XSS反射攻击防护。应设置为"1; mode=block"以启用并阻止页面渲染。考虑到其过时性，分值较低。

# 适用于旧版浏览器的配置
add_header X-XSS-Protection "1; mode=block";

4. Expect-CT (5分)：用于报告和处理错误的SSL证书，帮助网站过渡到必须使用证书透明化的环境。主要包含"enforce"、"max-age"和"report-uri"指令。由于证书透明化正在成为标准，此项作为前瞻性防护评分。

这一层级关注更深度的隐私安全和减少服务器指纹信息，使攻击者更难获取可用于攻击的元数据。

1. Clear-Site-Data (10分)：在用户登出或需要清理数据时，该头部可以指示浏览器清除与网站相关的本地数据（如缓存、Cookie、存储）。这对于共享设备上的安全退出场景非常有用。根据其是否在关键退出请求中被正确实施来评分。

# 登出时清除所有站点数据
add_header Clear-Site-Data ""cache", "cookies", "storage", "executionContexts"";

2. 移除或混淆服务器信息头部（10分）：默认情况下，服务器头部（如"Server"、"X-Powered-By"）会暴露Web服务器、编程语言和框架版本等信息，这为攻击者提供了便利。安全基线要求隐藏或混淆这些信息。例如，在Nginx中隐藏"Server"信息，在应用中移除"X-Powered-By"头部。根据信息暴露的减少程度评分。

# Nginx 隐藏 Server 信息
server_tokens off;

# 在应用框架（如PHP）中移除 X-Powered-By
header_remove('X-Powered-By');

现在，你可以根据上述三个层级的描述为你的网站评分：0-59分为高风险，60-84分为中等风险，85-100分为低风险（良好）。

实施建议遵循渐进式路线：第一阶段（立即执行）：部署基础防护层的所有4项策略（40分）。第二阶段（1-2周内）：重点攻克内容安全层，特别是CSP。建议先使用"Content-Security-Policy-Report-Only"模式，收集实际资源加载报告并进行策略调整，待稳定后再强制执行。同时部署HSTS和X-XSS-Protection。第三阶段（持续优化）：根据业务需要，实施高级加固层的策略，并定期审查和更新所有策略，尤其是CSP的白名单和HSTS的"max-age"。

在配置过程中，需警惕几个常见陷阱：

(1) CSP策略过于宽松（如滥用"'unsafe-inline'"或"'unsafe-eval'"），这会大大削弱防护效果。

(2) 多个配置冲突，例如同时设置宽松的CSP和严格的"X-Frame-Options"，可能导致功能异常。

(3) 忘记为API接口或静态资源域名配置相应的CSP或HSTS。

部署后，务必使用专业的在线安全头部扫描工具进行验证。这些工具可以全面检测你的网站配置了哪些安全头部，并给出详细的分析报告和修改建议。定期（如每季度）执行这样的扫描，是确保安全策略持续有效的关键。

总之，HTTP头部安全策略不是一个“一次性”的配置，而是一个需要与网站开发、运维流程深度集成的持续安全实践。从基础防护到高级加固，每一步都在提高攻击者的成本。按照上述评分基线逐一落实，你的网站安全防线将从最容易被忽略的入口处，变得坚实而可靠。