X-XSS-Protection 有什麼作用？

X-XSS-Protection 是自 Google Chrome 版本 4 以來一直存在的安全標頭。它旨在啟用一種工具，該工具可檢查網站內容是否存在反映的跨站點腳本。所有主要瀏覽器現在都停止了對標頭的支持，因為它最終引入了安全漏洞。強烈建議您根本不要設置標題，而是配置強大的內容安全策略。

提示：跨站腳本通常縮寫為“XSS”。

反射跨站腳本是一類XSS漏洞，利用直接編碼在URL中，只影響訪問該URL的用戶。當網頁顯示來自 URL 的數據時，反射型 XSS 是一種風險。例如，如果網絡商店允許您搜索產品，它的 URL 很可能類似於“website.com/search?term=gift”，並在頁面上包含“gift”一詞。如果有人將 JavaScript 放在 URL 中，問題就開始了，如果它沒有被正確清理，這個 JavaScript 可能會被執行，而不是像它應該的那樣打印到屏幕上。如果攻擊者可以欺騙用戶點擊帶有此類 XSS 負載的鏈接，他們可能會執行諸如接管他們的會話之類的操作。

X-XSS-Protection 旨在檢測和防止此類攻擊。不幸的是，隨著時間的推移，在系統工作方式中發現了許多繞過甚至漏洞。這些漏洞意味著實施 X-XSS-Protection 標頭會在原本安全的網站中引入跨站點腳本漏洞。

為了防止出現這種情況，鑑於內容安全策略標頭（通常縮寫為“CSP”）包含替換它的功能，瀏覽器開發人員決定停用該功能。大多數瀏覽器，包括 Chrome、Opera 和 Edge 要么取消了支持，要么就 Firefox 而言，從未實現它。建議網站禁用標頭，以保護那些仍在使用啟用該功能的舊瀏覽器的用戶。

X-XSS-Protection 可以替換為 CSP 標頭中的“unsafe-inline”設置。啟用此設置可能需要大量工作，具體取決於網站，因為這意味著所有 JavaScript 都必須在外部腳本中，不能直接包含在 HTML 中。