Content-Security-Policy无效命令

Question

我在.htacces文件中添加了以下几行：

Content-Security-Policy: default-src 'self'
X-Content-Security-Policy: default-src 'self'
X-WebKit-CSP: default-src 'self'

但我总是得到以下错误：

Invalid command 'Content-Security-Policy:', perhaps misspelled or defined by a module not included in the server configuration

我还是不明白。我必须激活哪个Apache模块？这些线路有什么问题？

大卫，谢谢你

Answer 1

我不是apache专家，但是内容安全策略是一个响应头。http://httpd.apache.org/docs/2.2/mod/mod_headers.html

Answer 2

将这些代码行添加到httpd.conf配置文件中，或者添加到虚拟主机部分中，或者添加到.htaccess文件中：

Header unset Content-Security-Policy
Header add Content-Security-Policy "default-src 'self'"
Header unset X-Content-Security-Policy
Header add X-Content-Security-Policy "default-src 'self'"
Header unset X-WebKit-CSP
Header add X-WebKit-CSP "default-src 'self'"

您可能还对添加这些标头感兴趣：

Header set X-Content-Type-Options "nosniff"
Header set X-XSS-Protection "1; mode=block"
Header set X-Frame-Options "DENY"
Header set Strict-Transport-Security "max-age=631138519; includeSubDomains"

您必须启用(LoadModule) mod_headers (如果尚未启用)，然后重新启动apache。