单击劫持和缺少 http 安全标头 Vaadin

Question

我们最近请了一位安全顾问来看看我们使用 vaadin 构建的应用程序。我们仍在使用version 6。 以下是实施的建议

• 标题中的“X-Frame-Options”。
• Content-Security-Policy:script-src'self
• X-Content-Type-Options:nosniff
• X-FrameOptions:SAMEORIGIN
• 将 Web 服务器配置为包含响应标头-X-XSS-Protection:1;mode=block

我的问题是，考虑到vaadin注重安全，vaadin是如何应对这种情况的？

on oficial documentation of vaadin 6 版本没有可用信息。 还发现了这个 solution ，但不确定它是否有效。同样在 vaadin 论坛上也没有可用的解决方案线程。

Answer 1

这些标题并不直接在 Vaadin 的影响范围内。 Vaadin 理论上可以将此类标头添加到它管理的响应中，但在某些情况下，它们中的一些不合适，这就是默认情况下不添加它们的原因。

因此，我建议您配置托管环境（例如负载平衡器或应用程序服务器）以在所有相关响应中包含您想要的标头值。另一种选择是创建一个简单的 Servlet 过滤器来添加标题。 the answer that you linked to 中描述了它的一个变体。