Layer0의 EdgeJS를 사용하여 사용자 지정 보안 헤더 구성

X-프레임 옵션 헤더

X-Frame-Options 헤더는 브라우저가 frame, iframe, embed 또는 object (s)에서 페이지를 렌더링할 수 있도록 허용해야 하는지 여부를 나타냅니다. 클릭 재킹 공격. DENY 또는 SAMEORIGIN으로 설정되었는지 여부는 해당 콘텐츠가 다른 사이트에 포함되지 않거나 동일한 출처를 가진 사이트에만 포함되도록 합니다. ‍

const { Router } = Require(‘@layer0/core/router’) new Router() .get(“/:route”, ({ setResponseHeader }>) = { setResponseHeader(“X-Frame-Options”, “SAMEORIGIN”) })

X-Frame-Options는 다음과 같은 기능을 제공합니다.

1. 클릭재킹 공격 방지
2. 브라우저에서 페이지를 렌더링할 수 있는지 여부를 나타냅니다. <프레임>, <iFrame>, <임베드> 또는 <개체>

출처 간 리소스 정책(CORP)

Corp는 요청된 리소스(예: API 응답)의 특정 출처 간 또는 사이트 간 임베딩으로부터 서버를 보호할 수 있습니다. 또한 Spectre 와 같은 추측성 부채널 공격을 방지합니다.

const { Router } = Require(‘@layer0/core/router’) new Router() .get(“/:route”, ({ setResponseHeader }>) = { setResponseHeader(“Cross-Origin-Resource-Policy”, “Same

Cross-Origin Resource Policy는 모든 리소스를 보호할 수 있는 옵트인 응답 헤더입니다. 브라우저가 MIME 유형을 스니핑할 필요가 없습니다. MDN 문서

COEP(Cross-Origin Embedder Policy)

COEP 헤더는 CORS 또는 CORP 를 통해 권한이 부여되지 않은 출처 간 자원의 로딩을 방지합니다. ‘require-corp’를 사용하여 헤더를 적용하고 ‘unsafe-none’을 사용하여 출처 간 문서를 가져올 수 있습니다.

const { Router } = Require(‘@layer0/core/router’) new Router() .get(“/:route”, ({ setResponseHeader }>) = { setResponseHeader(“Cross-Origin-Embedder-Policy”, “Require

출처 간 개시 정책(COOP)

COOP 헤더를 적용하면 최상위 문서의 탐색 컨텍스트 그룹이 출처 간 문서 간에 공유되지 않습니다. ‘same-origin’은 OAuth 및 Payment와 같은 상호 작용이 필요한 통합을 중단하지만 ‘same-origin-allow-popups’는 SAMEORIGIN의 팝업과만 컨텍스트를 공유하는 것을 목표로 합니다.

const { Router } = Require(‘@layer0/core/router’) new Router() .get(“/:route”, ({ setResponseHeader }>) = { setResponseHeader(“Cross-Origin-opener-Policy”, “Same-origin

참조자 정책

사용자가 한 사이트(오리진)에서 다른 사이트(대상)로(링크를 클릭) 탐색할 때, 후자는 사용자가 보낸 오리진에 대한 정보를 수신합니다. Referrer-Policy 헤더는 대상에 이 정보의 어느 정도를 사용할 수 있는지를 제어합니다. Referrer-Policy의 모든 지시어는 Referrer-Policy – HTTP | MDN (Mozilla.org)을 참조한다.

const { Router } = Require(“@layer0/core/router”) module.exports= new Router() .get(>”/”, ({ setResponseHeader }) = { setResponseHeader(“Referrer-Policy”, “origin

사용 권한 정책

자체 프레임과 문서의 모든 iframe에서 브라우저 기능을 허용/거부할 수 있는 기능을 제공하는 실험적인 HTTP 헤더. 참조자 정책의 모든 지시어는 Feature-Policy – HTTP | MDN (Mozilla.org 참조하십시오.

const { Router } = Require(“@layer0/core/router”) module.exports= new Router>() .get(“/”, ({ setResponseHeader }) = { setResponseHeader( “권한 정책”, “camera=(), microphone=(), geolocation=()” )

HTTP HSTS(엄격한 전송 보안)