![即使在配置文件中启用了 X-XSS-Protection 标头,但 HTML 文档仍未设置该标头](https://linux22.com/image/737074/%E5%8D%B3%E4%BD%BF%E5%9C%A8%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E4%B8%AD%E5%90%AF%E7%94%A8%E4%BA%86%20X-XSS-Protection%20%E6%A0%87%E5%A4%B4%EF%BC%8C%E4%BD%86%20HTML%20%E6%96%87%E6%A1%A3%E4%BB%8D%E6%9C%AA%E8%AE%BE%E7%BD%AE%E8%AF%A5%E6%A0%87%E5%A4%B4.png)
我在 web.config 文件中启用了 X-XSS-Protection 标头:
<httpprotocol>
<customheaders>
<remove name="X-Powered-By" />
<add name="X-XSS-Protection" value="1; mode=block" />
</customheaders>
</httpprotocol>
现在,X-XSS-Protection 标头出现在 text/plain、application/json、text/xml 或图像请求的响应中,但它不会出现在主 text/HTML 文档的响应中。但是,似乎这个 X-XSS-Protection 标头恰恰是 text/HTML 文档所需要的。你知道为什么会发生这种情况吗?
答案1
这没有按预期工作,因为我刚刚在服务器端添加了自定义标头,而不是在客户端。现在我将它们添加到客户端,标头按预期显示。