安全HTTP头设置

安全HTTP头设置的重要性

HTTP头在Web应用中扮演着关键角色，它们不仅控制内容类型和缓存行为，还直接影响应用的安全性。正确配置安全相关的HTTP头能有效防御多种网络攻击，如XSS、点击劫持、MIME类型混淆等。Node.js作为流行的后端技术，提供了多种方式来设置这些安全头。

常见的安全HTTP头

Content-Security-Policy (CSP)

CSP通过定义允许加载资源的来源，限制内联脚本执行等方式来减少XSS攻击的风险。一个严格的CSP策略可能如下：

app.use((req, res, next) => {
  res.setHeader(
    'Content-Security-Policy',
    "default-src 'self'; script-src 'self' https://trusted.cdn.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:;"
  );
  next();
});

这个策略只允许从同源加载资源，脚本仅允许来自同源和指定的CDN，样式允许内联样式（unsafe-inline），图片允许data URL。

X-XSS-Protection

虽然现代浏览器已逐步废弃这个头，但在旧版浏览器中仍有一定作用：

res.setHeader('X-XSS-Protection', '1; mode=block');

X-Content-Type-Options

防止浏览器MIME类型嗅探：

res.setHeader('X-Content-Type-Options', 'nosniff');

X-Frame-Options

防御点击劫持攻击：

res.setHeader('X-Frame-Options', 'SAMEORIGIN');

Strict-Transport-Security (HSTS)

强制使用HTTPS：

res.setHeader('Strict-Transport-Security', 'max-age=63072000; includeSubDomains; preload');

Referrer-Policy

控制Referer头的信息泄露：

res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin');

Node.js中的实现方式

使用原生HTTP模块

const http = require('http');

http.createServer((req, res) => {
  res.setHeader('X-Content-Type-Options', 'nosniff');
  res.setHeader('X-Frame-Options', 'DENY');
  // 其他头设置...
  res.end('Hello Secure World!');
}).listen(3000);

Express中间件方式

可以创建专门的安全头中间件：

const helmet = require('helmet');
const express = require('express');
const app = express();

// 使用helmet设置基本安全头
app.use(helmet());

// 自定义CSP
app.use((req, res, next) => {
  res.setHeader(
    'Content-Security-Policy',
    "default-src 'self'; script-src 'self' 'unsafe-eval'"
  );
  next();
});

使用helmet.js

helmet.js封装了常见安全头的设置：

const helmet = require('helmet');
const express = require('express');
const app = express();

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "'unsafe-inline'", "example.com"],
      objectSrc: ["'none'"],
      upgradeInsecureRequests: [],
    },
  },
  hsts: {
    maxAge: 123456,
    includeSubDomains: true
  }
}));

高级配置技巧

动态CSP配置

根据不同路由需求调整CSP：

app.use('/admin', (req, res, next) => {
  res.setHeader(
    'Content-Security-Policy',
    "default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self' data:; style-src 'self' 'unsafe-inline';"
  );
  next();
});

app.use('/public', (req, res, next) => {
  res.setHeader(
    'Content-Security-Policy',
    "default-src 'self' https:; script-src 'self' https://cdn.example.com;"
  );
  next();
});

报告URI配置

收集CSP违规报告：

res.setHeader(
  'Content-Security-Policy',
  "default-src 'self'; report-uri https://example.com/csp-report;"
);

// 或者使用更新的report-to
res.setHeader(
  'Content-Security-Policy',
  "default-src 'self'; report-to csp-endpoint;"
);
res.setHeader(
  'Report-To',
  '{"group":"csp-endpoint","max_age":10886400,"endpoints":[{"url":"https://example.com/csp-report"}],"include_subdomains":true}'
);

非标准安全头

一些特定场景可能需要自定义安全头：

res.setHeader('X-Permitted-Cross-Domain-Policies', 'none');
res.setHeader('Expect-CT', 'max-age=86400, enforce, report-uri="https://example.com/ct-report"');

测试与验证

使用curl检查

curl -I https://yourdomain.com

浏览器开发者工具

在Network标签中查看响应头。

在线安全头检查工具

如SecurityHeaders.com等。

性能考量

安全头会增加HTTP响应的大小，但影响通常很小。需要特别注意的是：

• CSP策略的复杂性可能影响解析时间
• 过多的报告URI可能产生大量网络请求
• HSTS预加载需要谨慎配置

// 生产环境推荐配置
app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      /* 精简但安全的策略 */
    },
    reportOnly: false // 生产环境关闭报告模式
  },
  hsts: {
    maxAge: 31536000, // 1年
    includeSubDomains: true,
    preload: true
  }
}));

常见问题解决

CSP导致资源加载失败

当资源被阻止时，浏览器控制台会显示具体信息。解决方案：

1. 将资源域名添加到相应指令中
2. 使用nonce或hash允许特定内联资源
3. 临时启用report-only模式调试

// 使用nonce示例
const crypto = require('crypto');
const nonce = crypto.randomBytes(16).toString('base64');

app.use((req, res, next) => {
  res.locals.nonce = nonce;
  next();
});

// 在模板中使用
// <script nonce="<%= nonce %>">...</script>

兼容性问题

某些旧系统可能需要特殊处理：

// 针对IE的特殊处理
app.use((req, res, next) => {
  res.setHeader('X-Content-Security-Policy', "default-src 'self'"); // IE11
  res.setHeader('X-WebKit-CSP', "default-src 'self'"); // 旧版WebKit
  next();
});

安全头的未来趋势

随着Web发展，一些新的安全头正在被引入：

// 新兴的Cross-Origin隔离头
res.setHeader('Cross-Origin-Embedder-Policy', 'require-corp');
res.setHeader('Cross-Origin-Opener-Policy', 'same-origin');
res.setHeader('Cross-Origin-Resource-Policy', 'same-site');

// 客户端提示
res.setHeader('Accept-CH', 'Sec-CH-UA, Sec-CH-UA-Mobile');
res.setHeader('Critical-CH', 'Sec-CH-UA, Sec-CH-UA-Mobile');