使用Layer0的EdgeJS配置自定义安全标头

X帧选项标题

X-Frame-Options标题指示是否允许浏览器呈现框架，iframe，嵌入或要避免的对象标记中的页面 点击劫持攻击。无论是设置为拒绝还是SAMEORIGIN，都可确保其内容不会分别嵌入到其他网站或仅嵌入到具有相同来源的网站中。‍

const {路由器}=需要(‘@layer0/core/router’) new Router().get(“/:route”,({ setResponseHeader })=>{ setResponseHeader (“X-Frame-Options”,”SAMEORIGIN”)})

X-Frame-Options使您能够：

1. 防止点击劫持攻击
2. 指示是否应允许浏览器在中呈现页面 <框架>, <iFrame>, <嵌入> 或 <对象>

跨来源资源策略(Corp)

Corp允许服务器防止某些跨源或跨站点嵌入所请求的资源(例如API响应)。它还可以防止Spectre等投机性侧信道攻击。

const {路由器}=需要(‘@layer0/core/router’) new Router().get(“/:route”,({ setResponseHeader })=>{ setResponseHeader (“Cross-origin-Resource-Policy”,”se-origin”)})

跨源服务器资源策略是一个可保护任何资源的选择加入响应标头;浏览器不需要嗅探MIME类型。 —MDN文档

跨源嵌入器政策(COEP)

COEP标头防止加载未被授予权限的跨源资源(通过CORS或CORP)。 使用‘require-corp’强制执行标头，而使用’unsafe-none’允许提取交叉来源文档。

const {路由器}= require(‘@layer0/core/router’) new Router().get(“/:route”,({ setResponseHeader })=>{ setResponseHeader (“Cross-origin-Embedder-Policy”,”require-corp”)})

跨源开启者政策(COOP)

强制COOP标头可确保顶级文档的浏览上下文组不会在跨来源文档之间共享。 ‘s`‘s来源’打破了需要交叉来源窗口交互(如OAuth和Payment)的整合，但`名称来源-允许弹出窗口’的目的是仅与SAMEORIGIN的弹出窗口共享上下文。

const {路由器}= require(‘@layer0/core/router’) new Router().get(“/:route”,({ setResponseHeader })=>{ setResponseHeader (“Cross-origin-opener-Policy”,”se-origin-allow-popups”)})

推荐人政策

当用户从一个站点(源站)导航(单击链接)到另一个站点(目标站)时，后者会收到有关用户来自哪个源站的信息。 Referrer-Policy标头控制此类信息中有多少可供目的地使用。 有关Referrer-Policy的所有指令，请参阅Referrer-Policy—HTTP | MDN (mozilla.org)。

const {路由器}= require(“@layer0/core/router”) module.exports= new Router().get(“/”,({ setResponseHeader })=>{ setResponseHeader (“Referrer-Policy”,”origin-why-cross-origin”)})

权限策略

一个实验性的HTTP标头，它提供允许/拒绝浏览器在其自身框架中和文档中的任何iframe中的功能。 有关Referrer-Policy的所有指令，请参阅Feature-Policy—HTTP | MDN (mozilla.org)

const {路由器}= require(“@layer0/core/router”) module.exports= new Router().get(“/”,({ setResponseHeader })=>{ setResponseHeader (” Permissions-Policy”,”camera=(), microphone=(), geolocation=();})

HTTP严格传输安全性(HSTS)