Spring Security Http响应头处理

Spring Security Http响应头处理

Spring Security 支持一些响应头信息，显示支持的Http响应头主要有如下几种：

* Cache-Control: no-cache, no-store, max-age=0, must-revalidate
* Pragma: no-cache
* Expires: 0
* X-Content-Type-Options: nosniff
* Strict-Transport-Security: max-age=31536000 ; includeSubDomains
* X-Frame-Options: DENY
* X-XSS-Protection: 1; mode=block

在HeaderWriterFilter中添加，默认情况下，该过滤器会添加到Spring Security过滤器链中，HeaderWriterFilter是通过HeadersConfigurer进行配置

private List<HeaderWriter> getHeaderWriters() {
   List<HeaderWriter> writers = new ArrayList<>();
   addIfNotNull(writers, contentTypeOptions.writer);
   addIfNotNull(writers, xssProtection.writer);
   addIfNotNull(writers, cacheControl.writer);
   addIfNotNull(writers, hsts.writer);
   addIfNotNull(writers, frameOptions.writer);
   addIfNotNull(writers, hpkp.writer);
   addIfNotNull(writers, contentSecurityPolicy.writer);
   addIfNotNull(writers, referrerPolicy.writer);
   addIfNotNull(writers, featurePolicy.writer);
   writers.addAll(headerWriters);
   return writers;
}

默认前五个不为null

contentTypeOptions.writer：负责处理X-Content-Type-Options响应头

xssProtection.writer：负责X-XSS-Protection响应头

cacheControl.writer：负责处理Cache-Control Pragma Expires的响应头

hsts.writer：负载处理Strict-Transport-Security响应头

frameOptions.writer：负责处理X-Frame-Options响应头

缓存控制

和缓存控制相关响应头有三个

• Cache-Control: no-cache, no-store, max-age=0, must-revalidate
• Pragma: no-cache
• Expires: 0

Cache-Control

HTTP /1,1引入，无论请求头还是响应头都支持该字段，no-store表示不作任何缓存，每次请求都会从服务端完整地下载内容，no-cache表示缓存但需要重新验证，数据虽然缓存在客户端，但是当需要使用该数据时，还是会向服务端发送请求，服务端则验证请求中所描述的缓存是否过期，如果没有过期，则返回304，客户端使用缓存；如果已经过期，则返回最新数据。

max-age表示缓存的有效期，单位为秒，must-revalidate表示当缓存在使用一个陈旧的资源时，必须先验证它的状态，已过期的将不被使用。

Pragma

和Cache-Control类似，兼容HTTP/1.0

Expires

Expires指在指定日期之后，缓存过期，如果日期为0，表示缓存已经过期。

Spring Security默认就是不做任何缓存，对于放行的url会缓存。

要想经过过滤器的请求也开启缓存，需要禁用掉Security的cacheControl .headers().cacheControl().disable()

X-Content-Type-Options

X-Content-Type-Options: nosniff 表示禁用客户端的MIME类型的嗅探，即服务端告诉客户端对于MIME类型的设置没有任何问题，当Content-Type类型值缺失时，不需要客户端对响应报文进行自我解析。

如果不想禁用MIME嗅探，配置 .headers().contentTypeOptions().disable()

Strict-Transport-Security

Strict-Transport-Security用来指定当前客户端只能通过HTTPS访问服务端，而不能通过HTTP访问。

可以通过java自带的keytool来生成HTTPS证书。

X-Frame-Options

X-Frame-Options响应头用来告诉浏览器是否允许一个页面在<frame> <iframe> <embed> <object>中展现，通过该响应头可以确保网站没有被嵌入到其他站点里面，进而避免发生单击劫持。

• deny 表示该页面不允许在frame中展现。
• sameorigin：该页面可以在相同域名页面的frame中展示。
• allow-from uri：表示该页面可以在指定来源的frame中展示。

所谓单击劫持是指攻击者被劫持的页面放在一个iframe标签中，设置该iframe不可见，然后将iframe标签覆盖在另一个页面上，诱使用户在该页面上进行操作，通过调制iframe页面位置，使用户单击iframe页面的按钮。

X-XSS-Protection

X-XSS-Protection响应头告诉浏览器当检测到跨站脚本攻击时，浏览器将停止加载页面

• 0 表示禁止XSS过滤
• 1 表示启用XSS过滤。如果检测到跨站脚本攻击，浏览器将清除页面。
• 1:mode=block 表示启用XSS过滤。如果检测到攻击，浏览器不会清除页面，而是阻止页面加载。Spring Security设置是这个
• 1:report=<reporting-URI>表示启用XSS过滤，如果检测到跨站脚本攻击，浏览器将清除页面并发送违规报告

所谓XSS攻击是Crocs-Site Scripting 跨站脚本攻击，攻击者在网站上注入恶意的JavaScript代码，窃取Cookie信息，监听用户行为，修改DOM结构。

Content-Security-Policy

Content-Security-Policy 为内容安全策略，简称CSP，用于检测并削弱某些特定类型的攻击，例如跨站脚本（XSS）和数据注入攻击

CSF相当于通过一个白名单明确告诉客户端，哪些外部资源可以加载和执行。

Referrer-Policy

Referrer-Policy描述用户从哪里进入到当前页面

Feature-Policy

Feature-Policy提供了一种可以在本页面或包含的iframe上启用或禁止浏览器特性的机制。使用较少

Clear-Site-Data

Clear-Site-Data 一般用在注销登录响应头中，表示告诉浏览器清除当前网站相关的数据，可以通过具体参数指定想要清除的数据，比如cookies cache storage等，也可以通过"*"表示清除所有的数据

protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .logout()
            .addLogoutHandler(new HeaderWriterLogoutHandler(new ClearSiteDataHeaderWriter(ClearSiteDataHeaderWriter.Directive.ALL)))
            .and()
            .headers().contentTypeOptions().disable()
            .csrf().disable()
            .headers()
            .featurePolicy("vibrate 'none'; geolocation 'none'")
            .and()
            .referrerPolicy()
            .policy(ReferrerPolicyHeaderWriter.ReferrerPolicy.ORIGIN_WHEN_CROSS_ORIGIN)
            .and()
            .contentSecurityPolicy(contentSecurityPolicyConfig -> {
                contentSecurityPolicyConfig.policyDirectives("default-src 'self'; script-src 'self'; object-src 'none';style-src cdn.javaboy.org; img-src *; child-src https:;report-uri http://localhost:8081/report");
                contentSecurityPolicyConfig.reportOnly();
            });

}