HTTP X-XSS-Protection yanıt üstbilgisi, Internet Explorer'ın, Chrome'un ve Safari'nin, yansıyan bölgeler arası komut dosyalarını algıladıklarında sayfaların yüklenmesini durduran bir özelliğidir (XSS) Bu güvenlik önlemleri, modern tarayıcılarda siteler güçlü bir şekilde uygulandığında büyük oranda gerekli olmasa daContent-Security-Policy satır içi JavaScript kullanımını devre dışı bırakan ('unsafe-inline'), henüz desteklemeyen eski web tarayıcılarının kullanıcıları için koruma sağlayabilirler CSP.
| Başlık Tipi | Response header |
|---|---|
| Yasak başlık adı | no |
Sözdizimi
X-XSS-Protection: 0 X-XSS-Protection: 1 X-XSS-Protection: 1; mode=block X-XSS-Protection: 1; report=<reporting-uri>
- 0
- XSS filtrelemeyi devre dışı bırakır.
- 1
- XSS filtrelemeyi etkinleştirir (genellikle tarayıcılarda varsayılan). Siteler arası komut dosyası çalıştırma saldırısı tespit edilirse, tarayıcı sayfayı sanitize eder (güvensiz kısımları kaldırır).
- 1; mode=block
- XSS filtrelemesini etkinleştirir. Sayfa sızdırmaz hale getirmek yerine tarayıcı, bir saldırı tespit edilirse sayfanın görüntülenmesini engeller.
- 1; report=<reporting-URI> (Sadece Chromium)
- XSS filtrelemesini etkinleştirir. Siteler arası komut dosyası çalıştırma saldırısı tespit edilirse, tarayıcı sayfayı sanitize eder ve ihlali bildirir. Bu, CSP'nin işlevselliğini kullanır
report-uribir rapor göndermek yönergesi.
Örneğin
Yansıyan XSS saldırılarını tespit ettiklerinde sayfaları yüklemeyi engelleyin:
X-XSS-Protection: 1; mode=blockPHP
header("X-XSS-Protection: 1; mode=block");Apache (.htaccess)
<IfModule mod_headers.c>
Header set X-XSS-Protection "1; mode=block"
</IfModule>Özellikler
Spesifikasyonların veya taslakların bir parçası değildir.
Tarayıcı uyumluluğu
BCD tables only load in the browser
Bu sayfadaki uyumluluk tablosu yapılandırılmış verilerden oluşturulmuştur. Verilere katkıda bulunmak istiyorsanız, lütfen https://github.com/mdn/browser-compat-data adresini ziyaret edin ve bize bir çekme isteği gönderin.