security_headers_xss
指令 `security_headers_xss` 配置 X-XSS-Protection HTTP 头，以防止跨站脚本（XSS）攻击。
NGINX module for sending security headers
·
httpserverlocation
语法security_headers_xss on | off | block;
默认值off
上下文http, server, location
参数1
说明
security_headers_xss 指令是用于发送安全头的 NGINX 模块的一部分。该指令允许你设置 X-XSS-Protection HTTP 头的值，该头用于在浏览器中启用或禁用内置的跨站脚本（XSS）过滤器。通过此指令，你可以指定是否启用此防护、在检测到攻击时阻止页面，或完全关闭它。该指令接受三个主要参数：off（禁用防护）；on（启用过滤器并允许浏览器对页面进行清理）；以及 block（在检测到攻击时指示浏览器阻止页面）。这种级别的配置通过在 HTTP 响应头中直接提供一个关键的安全层，帮助网站管理员防止 XSS 攻击。
该指令的行为取决于客户端浏览器的能力，因为并非所有浏览器都以相同方式支持 XSS 过滤器。例如，如果现代浏览器拥有自己的 XSS 保护机制，则可能会忽略该头。还值得注意的是，尽管此头可以帮助缓解部分 XSS 风险，但不应将其作为唯一的安全措施；仍然需要全面的 Web 应用安全实践。总体而言，security_headers_xss 指令通过将关键的 Web 安全头纳入服务器对请求的响应，增强了基于 NGINX 的应用的安全态势。
配置示例
http {
security_headers on;
security_headers_xss on;
}⚠
请记得在不同的浏览器中测试 XSS 保护的行为，因为它们可能会以不同的方式处理该标头。
⚠
将 off 设定可能会使你的应用程序暴露于 XSS 攻击，因此请确保已部署其他防护措施。
⚠
block 选项可能会导致用户在合法请求被误判为攻击时遇到访问问题。始终监控此设置的影响。