跳到主要内容

安全 HTTP 响应头

QWen Max 中英对照 Headers Security HTTP Response Headers

你可以使用安全 HTTP 响应头来提高 Web 应用程序的安全性。本节专门介绍基于 WebFlux 的安全 HTTP 响应头支持。

默认的安全头​

Spring Security 提供了一组默认的安全 HTTP 响应头，以提供安全的默认设置。虽然这些头文件中的每一个都被认为是最佳实践，但需要注意的是，并非所有客户端都使用这些头文件，因此建议进行额外的测试。

您可以自定义特定的头部。例如，假设您希望使用默认设置，但希望为 X-Frame-Options 指定 SAMEORIGIN。

你可以通过以下配置来实现：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .frameOptions(frameOptions -> frameOptions
                .mode(Mode.SAMEORIGIN)
            )
        );
    return http.build();
}
java

如果你不希望添加默认值，并且希望明确控制应使用的内容，你可以禁用默认值：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers.disable());
    return http.build();
}
java

缓存控制​

Spring Security 默认包含 缓存控制 头。

但是，如果你确实希望缓存特定的响应，你的应用程序可以有选择地将它们添加到 ServerHttpResponse 中，以覆盖 Spring Security 设置的头信息。这有助于确保 CSS、JavaScript 和图像等资源能够被正确缓存。

在使用 Spring WebFlux 时，你通常会在配置中进行。你可以在 Spring 参考文档的 静态资源 部分找到如何操作的详细信息。

如果需要，你也可以禁用 Spring Security 的缓存控制 HTTP 响应头。

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .cache(cache -> cache.disable())
        );
    return http.build();
}
java

Content Type Options​

默认情况下，Spring Security 包含 Content-Type 头。但是，你可以禁用它：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .contentTypeOptions(contentTypeOptions -> contentTypeOptions.disable())
        );
    return http.build();
}
java

HTTP 严格传输安全 (HSTS)​

默认情况下，Spring Security 提供了 Strict Transport Security 头。但是，您可以显式自定义结果。例如，以下示例显式提供了 HSTS：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .hsts(hsts -> hsts
                .includeSubdomains(true)
                .preload(true)
                .maxAge(Duration.ofDays(365))
            )
        );
    return http.build();
}
java

X-Frame-Options​

默认情况下，Spring Security 通过使用 X-Frame-Options 禁用在 iframe 中渲染。

您可以自定义框架选项以使用相同的来源：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .frameOptions(frameOptions -> frameOptions
                .mode(SAMEORIGIN)
            )
        );
    return http.build();
}
java

X-XSS-Protection​

默认情况下，Spring Security 通过使用 <<headers-xss-protection,X-XSS-Protection header> 指示浏览器禁用 XSS 审核器。您可以完全禁用 X-XSS-Protection 头：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .xssProtection(xssProtection -> xssProtection.disable())
        );
    return http.build();
}
java

您还可以更改标头值：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .xssProtection(xssProtection -> xssProtection.headerValue(XXssProtectionServerHttpHeadersWriter.HeaderValue.ENABLED_MODE_BLOCK))
        );
    return http.build();
}
java

内容安全策略 (CSP)​

默认情况下，Spring Security 不会添加 内容安全策略，因为没有应用程序的上下文就无法知道合理的默认值。Web 应用程序的作者必须声明要强制执行和/或监控的安全策略以保护资源。

例如，考虑以下安全策略：

Content-Security-Policy: script-src 'self' https://trustedscripts.example.com; object-src https://trustedplugins.example.com; report-uri /csp-report-endpoint/
http

根据上述策略，您可以启用 CSP 标头：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .contentSecurityPolicy(policy -> policy
                .policyDirectives("script-src 'self' https://trustedscripts.example.com; object-src https://trustedplugins.example.com; report-uri /csp-report-endpoint/")
            )
        );
    return http.build();
}
java

要启用 CSP report-only 头，请提供以下配置：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .contentSecurityPolicy(policy -> policy
                .policyDirectives("script-src 'self' https://trustedscripts.example.com; object-src https://trustedplugins.example.com; report-uri /csp-report-endpoint/")
                .reportOnly()
            )
        );
    return http.build();
}
java

Referrer Policy​

Spring Security 默认添加 Referrer Policy 头，并使用指令 no-referrer。您可以使用如下所示的配置来更改 Referrer Policy 头：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .referrerPolicy(referrer -> referrer
                .policy(ReferrerPolicy.SAME_ORIGIN)
            )
        );
    return http.build();
}
java

功能策略​

默认情况下，Spring Security 不添加 Feature Policy 头。请考虑以下 Feature-Policy 头：

Feature-Policy: geolocation 'self'
none

您可以启用前面的Feature Policy标头：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .featurePolicy("geolocation 'self'")
        );
    return http.build();
}
java

权限策略​

默认情况下，Spring Security 不添加 Permissions Policy 头。请考虑以下 Permissions-Policy 头：

Permissions-Policy: geolocation=(self)
none

你可以启用前面的Permissions Policy头：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .headers(headers -> headers
            .permissionsPolicy(permissions -> permissions
                .policy("geolocation=(self)")
            )
        );
    return http.build();
}
java

清除站点数据​

默认情况下，Spring Security 不会添加 Clear-Site-Data 头。请考虑以下 Clear-Site-Data 头：

Clear-Site-Data: "cache", "cookies"

你可以在登出时发送 Clear-Site-Data 头：

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    ServerLogoutHandler securityContext = new SecurityContextServerLogoutHandler();
    ClearSiteDataServerHttpHeadersWriter writer = new ClearSiteDataServerHttpHeadersWriter(CACHE, COOKIES);
    ServerLogoutHandler clearSiteData = new HeaderWriterServerLogoutHandler(writer);
    DelegatingServerLogoutHandler logoutHandler = new DelegatingServerLogoutHandler(securityContext, clearSiteData);

    http
        // ...
        .logout()
            .logoutHandler(logoutHandler);
    return http.build();
}
java