X-XSS-Protection

HTTP X-XSS-Protection yanıt üstbilgisi, Internet Explorer'ın, Chrome'un ve Safari'nin, yansıyan bölgeler arası komut dosyalarını algıladıklarında sayfaların yüklenmesini durduran bir özelliğidir (XSS)  Bu güvenlik önlemleri, modern tarayıcılarda siteler güçlü bir şekilde uygulandığında büyük oranda gerekli olmasa daContent-Security-Policy (en-US) satır içi JavaScript kullanımını devre dışı bırakan ('unsafe-inline'), henüz desteklemeyen eski web tarayıcılarının kullanıcıları için koruma sağlayabilirler CSP.

Başlık Tipi Response header
Yasak başlık adı no

Sözdizimi

X-XSS-Protection: 0
X-XSS-Protection: 1
X-XSS-Protection: 1; mode=block
X-XSS-Protection: 1; report=<reporting-uri>
0
XSS filtrelemeyi devre dışı bırakır.
1
XSS filtrelemeyi etkinleştirir (genellikle tarayıcılarda varsayılan). Siteler arası komut dosyası çalıştırma saldırısı tespit edilirse, tarayıcı sayfayı sanitize eder (güvensiz kısımları kaldırır).
1; mode=block
XSS filtrelemesini etkinleştirir. Sayfa sızdırmaz hale getirmek yerine tarayıcı, bir saldırı tespit edilirse sayfanın görüntülenmesini engeller.
1; report=<reporting-URI>  (Sadece Chromium)
XSS filtrelemesini etkinleştirir. Siteler arası komut dosyası çalıştırma saldırısı tespit edilirse, tarayıcı sayfayı sanitize eder ve ihlali bildirir. Bu, CSP'nin işlevselliğini kullanırreport-uri (en-US) bir rapor göndermek yönergesi.

Örneğin

Yansıyan XSS saldırılarını tespit ettiklerinde sayfaları yüklemeyi engelleyin:

X-XSS-Protection: 1; mode=block

PHP

header("X-XSS-Protection: 1; mode=block");

Apache (.htaccess)

<IfModule mod_headers.c>
  Header set X-XSS-Protection "1; mode=block"
</IfModule>

Özellikler

Spesifikasyonların veya taslakların bir parçası değildir.

Tarayıcı uyumluluğu

BCD tables only load in the browser

Bunlara da bakın