在 Apache 或 PHP 中为 Web 服务器设置安全标头和 Cookie 属性？答案

【问题标题】：Setting Security Headers and Cookie Attributes for web server in Apache or PHP?在 Apache 或 PHP 中为 Web 服务器设置安全标头和 Cookie 属性？
【发布时间】：2021-08-06 19:25:15
【问题描述】：

我知道有一些方法可以在 PHP 中设置安全标头和 Cookie 属性，也可以在 Apache Virtualhost Config 中设置，例如：

Header edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure;SameSite=Strict

或：

Header always set X-Frame-Options "SAMEORIGIN"

但我也可以在 PHP 中为每个 php 文件中的每个 cookie / header 执行此操作。

是否有理由更喜欢其中一个选项？在 Apache 中做这件事似乎少了很多工作。它提供的安全性/在 PHP 中这样做的任何理由有什么不同吗？

【问题讨论】：

当您说“我也可以在 PHP 中为每个 php 文件中的每个 cookie / header 执行此操作”时，我认为您回答了您自己的问题。如果您在 Apache 中执行此操作，则只需执行一次。

标签： php cookies http-headers

【解决方案1】：

在 apache2 中设置这两者让您高枕无忧 - 即使您的初级开发人员添加了新的脚本或功能并且错过了设置所需的 cookie 属性或标头 - 众所周知，apache2 会支持您。

另一方面，如果您移动到新的主机，或者可能是不同的网络服务器 - 您必须添加等效设置。

总而言之 - 我会在 PHP 中保留任何关键内容以避免意外的惊喜。

【讨论】：