Java Web 应用安全响应头配置全解析：从单体到微服务网关的实践
背景：为什么安全响应头至关重要？
在 Web 安全领域，响应头（Response Headers）是防御 XSS、点击劫持、跨域数据泄露等攻击的第一道防线。通过合理配置响应头，可强制浏览器遵循安全策略，限制恶意行为。本文结合 OWASP、MDN、Spring 官方文档及微软等权威资料，系统性梳理12 类常见安全响应头的作用、配置规范及 Java 项目（含微服务网关）的实现方案，并附完整代码示例。
关键安全响应头全解析
以下是 Web 应用中最易缺失的安全响应头，涵盖用户关注的Content-Security-Policy、X-Permitted-Cross-Domain-Policies等，附权威依据与推荐值：
1. Content-Security-Policy（CSP）
作用：防止 XSS 攻击，限制浏览器仅加载指定来源的资源（如 JS、CSS、图片）。
推荐值：default-src 'self'; script-src 'self' https://trusted.cdn.com; object-src 'none'（仅允许同域和可信 CDN 的脚本，禁用插件）。
权威依据：OWASP CSP 指南（https://owasp.org/www-project-content-security-policy/）。
2. X-Permitted-Cross-Domain-Policies
作用：控制 Adobe Flash、Silverlight 等插件的跨域策略文件（crossdomain.xml）加载，防止敏感数据泄露。
推荐值：none（禁用所有跨域策略文件）。
权威依据：Adobe 官方文档（https://www.adobe.com/devnet-docs/acrobatetk/tools/AppSec/xdomain.html）。
3. X-Download-Options
作用：针对 IE 浏览器，禁止自动打开下载的文件（如.exe、.pdf），避免恶意文件执行。
推荐值：noopen（下载后仅保存，不自动打开）。
权威依据：微软安全文档（Customizing the download experience (Windows) | Microsoft Learn）。
4. Referrer-Policy
作用：控制Referer头的发送内容，防止敏感 URL 泄露（如登录页面地址）。
推荐值：no-referrer（不发送Referer头）或strict-origin-when-cross-origin（跨域时仅发送源）。
权威依据：W3C 规范（https://w3c.github.io/referrer-policy/）。
5. 其他核心安全响应头（补充）
| 响应头名称 | 作用 | 推荐值 | 权威依据 |
|---|---|---|---|
Strict-Transport-Security (HSTS) |
强制 HTTPS 连接，防止 SSL 剥离攻击 | max-age=31536000; includeSubDomains; preload（1 年有效期，包含子域） |
MDN 文档（Strict-Transport-Security - HTTP | MDN） |
X-Content-Type-Options |
防止浏览器 MIME 嗅探执行恶意文件（如将.txt 误判为.js） | nosniff |
OWASP Secure Headers（OWASP Secure Headers Project | OWASP Foundation） |
X-XSS-Protection |
兼容旧版浏览器的 XSS 过滤（现代浏览器依赖 CSP） | 1; mode=block（检测到 XSS 时阻止渲染） |
MDN 文档（X-XSS-Protection - HTTP | MDN） |
X-Frame-Options |
防止点击劫持（攻击者通过 |