（三）XSS 攻擊防護——X-XSS-Protection

X-XSS-Protection

顧名思義，這個響應頭是用來防范XSS的。最早我是在介紹IE8的文章里看到這個，現在主流瀏覽器都支持，並且默認都開啟了XSS保護，用這個header可以關閉它。它有幾種配置：

• 0：禁用XSS保護；
• 1：啟用XSS保護；
• 1; mode=block：啟用XSS保護，並在檢查到XSS攻擊時，停止渲染頁面（例如IE8中，檢查到攻擊時，整個頁面會被一個#替換）；

瀏覽器提供的XSS保護機制並不完美，但是開啟后仍然可以提升攻擊難度，總之沒有特別的理由，不要關閉它。

PHP設置

header("X-XSS-Protection: 1");