无法解决 XSS 跨站脚本漏洞

Question

我在我的 apache/conf/httpd.conf 文件中添加了以下行来解决 XSS 跨站脚本漏洞。

1)

<IfModule mod_headers.c>

    #                           (1)    (2)
    Header set X-XSS-Protection "1; mode=block"

    # `mod_headers` cannot match based on the content-type, however,
    # the `X-XSS-Protection` response header should be sent only for
    # HTML documents and not for the other resources.

    <FilesMatch "\.(%FilesMatchPattern%)$">
        Header unset X-XSS-Protection
    </FilesMatch>

</IfModule>

2 ) header always set x-xss-protection "1; mode=block"


3) <IfModule mod_headers.c>
  Header set X-XSS-Protection "1; mode=block"
</IfModule>

使用以下命令重新启动 apache 服务器

httpd -k 重启

但是他们都没有成功，IBM BAVA 安全扫描仍然显示（跨站点脚本）是积极的，并且 Web 服务器漏洞仍然存在。

Answer 1

添加 X-XSS-protection 标头是一项通知您使用客户端浏览器的功能。此外，除非您的浏览器支持，否则它根本不起作用。 这无助于解决服务器端的 XSS 漏洞。

请参考this。