1,Content Security Policy
通过在网站页面中设置 CSP Header 来限制页面中能够执行的脚本、样式、图片等资源。CSP 包括很多不同的策略，因此安全设置的具体值取决目标网站的需求和资源使用情况。一般而言，建议设置较为严格的 CSP，以避免 XSS、CSRF 等安全问题。
<meta http-equiv="content-security-policy-report-only" content="default-src 'self';">2，X-Content-Type-Options
是一个HTTP响应头，它有助于控制浏览器对网页内容类型的解释和呈现方式。具体来说，该头部主要有两个值：
nosniff： 禁止浏览器进行类型猜测。
这意味着当服务器响应中包含X-Content-Type-Options: nosniff时，浏览器将遵循服务器声明的Content-Type，而不会尝试解析或猜测文件类型。这可以有效防止一些安全漏洞，如MIME类型混淆攻击。
3，session.cookie_secure
是一个配置选项，用于指定Session Cookie是否只能通过HTTPS连接传输。
当 session.cookie_secure 设置为 True 时：
反之，如果设置为 False（默认值），则 Cookie 可以通过 HTTP 或 HTTPS 连接传输，这可能会增加被中间人攻击的风险。
在实际应用中，为了确保用户数据的安全性，建议在生产环境中将 session.cookie_secure 设置为 True，并确保网站使用 HTTPS 协议进行通信。
php.ini文件可修改。
4，session.cookie_httponly
是一个配置选项，用于指定Session Cookie是否只能通过HTTP(S)协议访问。
当 session.cookie_httponly 设置为 true 或 1
时，表示创建的 Cookie 只能通过 HTTP 或 HTTPS 协议访问，而无法通过客户端脚本（如 JavaScript）读取。这能有效防止
XSS（跨站脚本）攻击，因为攻击者即使能够注入恶意脚本，也无法通过该脚本读取设置了 HttpOnly 属性的 Cookie 信息。
上一篇：快手API接口错误码
下一篇：没有了