安全响应头

如何选择安全响应头：哪些仍然需要、哪些已过时、哪些反而有害

响应头不是越多越好。把它们分成三组：仍然有效的（CSP、HSTS、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy）、已过时的（Expect-CT 自2021年6月起基本已过时）、以及有害的（MDN 把 X-XSS-Protection 标为已废弃、非标准，并警告它可能在原本安全的网站上制造 XSS 漏洞）。照抄过时的清单，就会把有害的设置和有用的设置一起带进来。