浏览器与服务器安全措施

安全相关的响应首部有哪些？

首部	作用
X-Frame-Options	控制页面能否被 frame 嵌入: DENY 拒绝, SAMEORIGIN 仅同源
X-XSS-Protection	控制浏览器的 XSS 防护机制
Content-Security-Policy	声明可信内容来源, 减少 XSS 风险
Set-Cookie: HttpOnly	禁止脚本读取 cookie, 降低 XSS 窃取会话的风险
Set-Cookie: SameSite	限制跨站请求携带 cookie, 缓解 CSRF
DNT	声明拒绝个人信息被收集
P3P	声明隐私策略, 使个人信息只对程序可读

• 对应的攻击见 XSS 与 CSRF;

浏览器自身提供哪些安全机制？

• HTTPS: 加密传输并验证服务端身份;
• 同源策略: 限制不同源之间的资源交互, 见 同源策略与跨域;
• 证书验证: 校验站点身份;
• 隐私模式: 不持久化本地数据;
• 弹窗拦截、下载扫描、扩展扫描;
• 密码管理器与表单自动填充保护;