Nginx 安全响应头配置完整教程：从原理到实战的一站式指南

本文详细介绍Nginx安全响应头的配置方法，涵盖X-Frame-Options、CSP、HSTS等8个关键响应头的作用、配置语法、常见错误及最佳实践，帮助站长快速提升网站安全性。

目录

• 一、为什么要配置Nginx安全响应头
• 二、8个核心Nginx安全响应头详解
• 三、Nginx安全响应头配置实战
• 四、常见配置错误及解决方法
• 五、安全响应头检查与验证方法
• 六、最佳实践与性能优化

一、为什么要配置Nginx安全响应头

安全响应头是浏览器和服务器之间的安全协议，能够有效防御点击劫持、XSS攻击、数据包劫持等常见Web攻击。很多站长只关注SSL证书和防火墙，却忽略了响应头的配置，导致网站存在安全隐患。Nginx作为主流Web服务器，支持通过add_header指令快速配置响应头，操作简单且性能影响极小。

二、8个核心Nginx安全响应头详解

1. X-Frame-Options

作用：防止网站被嵌入iframe，防御点击劫持攻击。可选值：DENY（禁止任何嵌入）、SAMEORIGIN（只允许同域名嵌入）、ALLOW-FROM uri（允许指定域名嵌入，已逐渐被CSP取代）。

配置示例：add_header X-Frame-Options SAMEORIGIN;

2. X-Content-Type-Options

作用：阻止浏览器嗅探文件类型，防止基于MIME类型的攻击。只能设置nosniff。

配置示例：add_header X-Content-Type-Options nosniff;

3. Content-Security-Policy（CSP）

作用：指定页面允许加载的资源来源，有效防御XSS攻击、数据注入攻击。配置较为灵活，可指定脚本、样式、图片、字体等资源的来源。

配置示例：add_header Content-Security-Policy 'default-src ''self''; script-src ''self'' ''unsafe-inline'';';

4. X-XSS-Protection

作用：开启浏览器的XSS过滤防护，虽然逐渐被CSP取代，但仍可作为旧浏览器的兼容方案。可选值：0（关闭）、1（开启，过滤危险脚本）、1; mode=block（开启，直接阻止页面渲染）。

配置示例：add_header X-XSS-Protection '1; mode=block';

5. Strict-Transport-Security（HSTS）

作用：强制浏览器使用HTTPS访问网站，防止中间人攻击。包含max-age（有效期，单位秒）、includeSubDomains（包含所有子域名）、preload（申请加入浏览器预加载列表）三个参数。

配置示例：add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload' always;

6. Referrer-Policy

作用：控制浏览器发送Referer头的行为，保护用户隐私。常用值：no-referrer（不发送）、same-origin（同域名发送）、strict-origin-when-cross-origin（跨域时只发送origin，HTTPS→HTTP不发送）。

配置示例：add_header Referrer-Policy 'strict-origin-when-cross-origin';

7. Permissions-Policy

作用：控制浏览器是否允许使用摄像头、麦克风、地理位置等敏感API，替代原来的Feature-Policy。可指定允许使用的域名。

配置示例：add_header Permissions-Policy 'geolocation=(), camera=(), microphone=()';

8. X-Permitted-Cross-Domain-Policies

作用：控制Flash、PDF等插件是否允许跨域请求，防止跨域数据泄露。可选值：none（禁止）、master-only（只允许主策略文件）、by-content-type（允许指定Content-Type的跨域请求）、all（允许所有）。

配置示例：add_header X-Permitted-Cross-Domain-Policies none;

三、Nginx安全响应头配置实战

以下是完整的安全响应头配置示例，可直接复制到Nginx配置的server块或location块中：

server {
    listen 443 ssl;
    server_name example.com;
    # SSL配置省略
    # 安全响应头配置
    add_header X-Frame-Options SAMEORIGIN always;
    add_header X-Content-Type-Options nosniff always;
    add_header Content-Security-Policy 'default-src ''self''; script-src ''self'' https://cdn.example.com; style-src ''self'' ''unsafe-inline''; img-src ''self'' data:' always;
    add_header X-XSS-Protection '1; mode=block' always;
    add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload' always;
    add_header Referrer-Policy 'strict-origin-when-cross-origin' always;
    add_header Permissions-Policy 'geolocation=(), camera=(), microphone=()' always;
    add_header X-Permitted-Cross-Domain-Policies none always;
    # 其他配置省略
}

注意：所有add_header指令都建议加上always参数，确保无论返回什么状态码（比如404、500），响应头都会被发送。

四、常见配置错误及解决方法

1. add_header在if块中失效：Nginx的add_header指令在if块中使用时，会覆盖外层同名响应头，导致配置不生效。解决方法是尽量避免在if块中使用add_header，或者使用map指令替代if。
2. 忘记加always参数：默认情况下，add_header只在返回2xx、3xx状态码时生效，404、500等错误页面不会发送响应头。解决方法是给所有add_header指令加上always参数。
3. CSP配置过于严格导致页面异常：初始配置CSP时建议先使用report-only模式，收集违规报告，再逐步调整策略，避免直接阻断合法资源。
4. HSTS配置错误导致网站无法访问：max-age设置时间过长，一旦SSL证书过期，用户将无法访问网站。建议初始设置较短的max-age（比如86400秒），验证无误后再逐步延长。

五、安全响应头检查与验证方法

1. 使用curl命令检查：执行curl -I https://example.com，查看响应头中是否包含配置的安全头。
2. 使用浏览器DevTools检查：打开网站的Network标签，查看任意请求的Response Headers，确认安全头是否存在。
3. 使用在线工具检查：推荐使用Security Headers（https://securityheaders.com/）工具，输入域名即可检测安全头的配置情况，并给出评分和优化建议。

六、最佳实践与性能优化

1. 优先使用CSP替代X-Frame-Options和X-XSS-Protection，兼容性更好，防护能力更强。
2. HSTS的max-age建议设置为1年以上，同时申请加入浏览器预加载列表，进一步提升安全性。
3. 定期检查安全头的配置情况，随着业务变化及时调整CSP策略。
4. 尽量将安全响应头的配置放在Nginx的http块中，避免每个server块重复配置，提升可维护性。

相关文章推荐

• Nginx安全响应头配置详解：8个关键Header让你的网站固若金汤
• Nginx CORS跨域配置详解：从原理到实战的完整指南
• Nginx SSL/TLS 性能优化实战