Web服务器通过配置安全响应头可有效缓解XSS、点击劫持、MIME混淆等前端风险，但无法防范SQL注入；CSP是防御XSS最有效的机制，X-Content-Type-Options和X-Frame-Options分别防止MIME嗅探与点击劫持，HSTS和Referrer-Policy则强化传输安全与溯源控制。
Web 服务器本身不直接“防范注入”，但通过正确配置安全响应头，能大幅缓解XSS、点击劫持、MIME类型混淆等前端侧风险，并配合后端代码形成纵深防御。SQL注入必须靠后端编码解决（如预处理语句），安全头对此无效；但XSS、资源劫持类问题，头部配置是第一道防线。
Content-Security-Policy（CSP）——XSS的硬核刹车
CSP 是防止反射型和存储型 XSS 最有效的机制，它明确告诉浏览器哪些脚本、样式、资源可以加载执行。
- 基础策略示例（禁用内联脚本与 eval）：
Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src * data: - 开发阶段可用
report-uri或report-to收集违规行为，避免直接阻断影响功能 - 避免使用
'unsafe-inline'和'unsafe-eval'，尤其在生产环境；富文本场景可用script-src 'nonce-xxx'配合后端动态生成 nonce 值 - FastAdmin 等后台框架若集成第三方插件（如 CodeMirror、UEditor），需在 CSP 中显式放行其 JS/CSS 域名或哈希值
X-Content-Type-Options 与 X-Frame-Options ——防MIME嗅探与点击劫持
这两个头虽简单，却能堵住常见攻击入口：
-
X-Content-Type-Options: nosniff：强制浏览器按响应头Content-Type解析资源，防止将text/plain当作text/html执行，规避“上传 HTML 文件绕过过滤”类 XSS -
X-Frame-Options: DENY（或SAMEORIGIN）：禁止页面被嵌入 iframe，防止钓鱼页套壳或 CSRF 辅助攻击；现代推荐改用 CSP 的frame-ancestors指令，兼容性更好
Strict-Transport-Security（HSTS）与 Referrer-Policy ——加固传输与溯源控制
它们不直接防注入，但提升整体信任链可靠性：
-
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload：强制浏览器只走 HTTPS，防止中间人篡改响应头或注入脚本 -
Referrer-Policy: strict-origin-when-cross-origin：限制跨域请求中 Referer 泄露敏感路径（如含 token 的 URL），降低信息泄露面 - 搭配
Cookie: Secure; HttpOnly; SameSite=Lax（非响应头，但属同等重要配置），可有效抑制 Cookie 劫持类 XSS 后果
Nginx / Apache 实际配置片段参考
以 Nginx 为例，在 server 或 location 块中添加：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src * data:; font-src 'self';" always; add_header X-Content-Type-Options "nosniff" always; add_header X-Frame-Options "DENY" always; add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always;
Apache 用户可在 .htaccess 或虚拟主机配置中使用 Header set 指令，注意启用 mod_headers 模块。
