Spring Security 7 響應頭配置方法及其解決方案

更新時間：2026年01月30日 11:09:45 作者：碼賞春秋

本文詳細介紹了Spring Security中的HTTP安全響應頭配置方法,重點分析了X-Frame-Options響應頭沖突問題及其解決方案,感興趣的朋友跟隨小編一起看看吧

Spring Security 響應頭配置完全指南

前言

在 Web 應用安全中，HTTP 響應頭是防御型安全的第一道防線。Spring Security 提供了開箱即用的安全響應頭功能，但默認配置往往不能滿足所有場景需求。本文將詳細探討 Spring Security 響應頭的配置方法，以及如何解決實際項目中遇到的響應頭沖突問題。

一、問題回顧：X-Frame-Options 響應頭沖突

1.1 問題現(xiàn)象

我們在項目中添加了 xFrameOptionsInterceptor 攔截器，在 Controller 的 postHandle 方法中設置：

response.setHeader("X-Frame-Options", "SAMEORIGIN");

但實際測試發(fā)現(xiàn)，響應頭仍然是 DENY，自定義的 SAMEORIGIN 配置沒有生效。

1.2 根因分析

問題的根源在于執(zhí)行順序：

組件	類型	執(zhí)行時機	設置的值
Spring Security `HeaderWriterFilter`	Security Filter	Spring Security 過濾器鏈（第5個）	`DENY`（默認值）
`xFrameOptionsInterceptor.postHandle`	HandlerInterceptor	Spring MVC Controller 之后	`SAMEORIGIN`

Spring Security 6+ 默認行為：

// Spring Security 默認相當于：
headers(headers -> headers
    .frameOptions(frame -> frame.deny())  // 默認 DENY
)

由于 HeaderWriterFilter 在 Spring MVC 攔截器之前執(zhí)行，它設置的 DENY 已經(jīng)寫入響應，后續(xù)攔截器的修改無法覆蓋。

1.3 解決方案

修改配置（推薦）：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        // 其他配置...
        .headers(headers -> headers
            .frameOptions(frame -> frame.sameOrigin())
        );
    return http.build();
}

移除攔截器（如果使用了 Spring Security 配置，就不需要 MVC 攔截器了）。

二、Spring Security 響應頭框架

Spring Security 的響應頭配置通過 HttpSecurity.headers() 方法實現(xiàn)，支持兩類響應頭：

安全響應頭（Security Headers）：防范常見 Web 攻擊
靜態(tài)資源響應頭（Static Resource Headers）：針對靜態(tài)資源的緩存控制

2.1 安全響應頭詳解

1. X-Frame-Options - 點擊劫持防護

.headers(headers -> headers
    // 禁用（不推薦，生產(chǎn)環(huán)境應啟用）
    .frameOptions(frame -> frame.disable())
    // DENY：禁止所有 iframe 加載
    .frameOptions(frame -> frame.deny())
    // SAMEORIGIN：僅允許同源 iframe 加載（最常用）
    .frameOptions(frame -> frame.sameOrigin())
    // ALLOW-FROM：允許指定來源的 iframe（已廢棄，使用 CSP frame-ancestors）
    .frameOptions(frame -> frame.allowFrom(origins -> "https://example.com"))
)

推薦配置：

.frameOptions(frame -> frame.sameOrigin())

2. X-Content-Type-Options - MIME 類型嗅探防護

.headers(headers -> headers
    // 禁用 nosniff（不推薦）
    .contentTypeOptions(contentType -> contentType.disable())
    // 啟用 nosniff，禁止 MIME 類型嗅探
    .contentTypeOptions(AbstractHttpConfigurer::disable)  // 默認啟用
)

效果：響應頭添加 X-Content-Type-Options: nosniff，瀏覽器不會執(zhí)行非聲明類型的資源。

3. Strict-Transport-Security (HSTS) - 強制 HTTPS

.headers(headers -> headers
    // 自定義 HSTS 配置
    .hsts(hsts -> hsts
        .includeSubDomains(true)           // 包含子域名
        .maxAgeInSeconds(31536000)         // 有效期 1 年
        .preload(true)                      // 允許 HSTS Preload 列表
    )
    // 禁用 HSTS（僅在開發(fā)環(huán)境）
    .hsts(hsts -> hsts.disable())
)

效果：響應頭添加 Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

生產(chǎn)環(huán)境推薦配置：

.hsts(hsts -> hsts
    .includeSubDomains(true)
    .maxAgeInSeconds(31536000)  // 1 年
    .requestTimespanEnforcement(true)  // 請求時強制檢查
)

4. X-XSS-Protection - XSS 過濾器（已廢棄）

.headers(headers -> headers
    // 啟用 XSS 過濾保護
    .xssProtection(xss -> xss
        .headerValue("1; mode=block")  // 阻塞頁面而非過濾
    )
    // 禁用
    .xssProtection(xss -> xss.disable())
)

注意：現(xiàn)代瀏覽器已廢棄此頭部，建議使用 CSP 替代。Spring Security 7 默認禁用。

5. Content-Security-Policy (CSP) - 內(nèi)容安全策略

.headers(headers -> headers
    // 基礎配置
    .contentSecurityPolicy(csp -> csp
        .policyDirectives("default-src 'self'")
    )
    // 詳細配置示例
    .contentSecurityPolicy(csp -> csp
        .policyDirectives("default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'")
    )
    // 僅報告模式（不阻斷，僅報告）
    .contentSecurityPolicy(csp -> csp
        .policyDirectives("default-src 'self'; report-uri /csp-violation-report")
        .reportOnly(true)
    )
    // 禁用 CSP
    .contentSecurityPolicy(csp -> csp.disable())
)

常用指令：

指令	說明	示例值
`default-src`	默認來源	`'self'`
`script-src`	JavaScript 來源	`'self' 'unsafe-inline' https://cdn.example.com`
`style-src`	CSS 來源	`'self' 'unsafe-inline'`
`img-src`	圖片來源	`'self' data: https: blob:`
`connect-src`	AJAX/WebSocket	`'self' https://api.example.com`
`font-src`	字體來源	`'self' data: https://fonts.gstatic.com`
`frame-ancestors`	iframe 嵌入源	`'self'`（替代 X-Frame-Options）
`base-uri`	base 標簽限制	`'self'`
`form-action`	表單提交限制	`'self'`

生產(chǎn)環(huán)境推薦 CSP：

.contentSecurityPolicy(csp -> csp
    .policyDirectives(
        "default-src 'self'; " +
        "script-src 'self' 'unsafe-inline' 'unsafe-eval'; " +
        "style-src 'self' 'unsafe-inline'; " +
        "img-src 'self' data: https:; " +
        "font-src 'self' data:; " +
        "connect-src 'self'; " +
        "frame-ancestors 'self'"
    )
)

6. Referrer-Policy - 引用來源策略

.headers(headers -> headers
    .referrerPolicy(referrer -> referrer
        .policy(ReferrerPolicy.SAME_ORIGIN)  // 同源
        // 可選值：
        // - no-referrer
        // - no-referrer-when-downgrade（默認值）
        // - origin
        // - origin-when-cross-origin
        // - same-origin
        // - strict-origin
        // - strict-origin-when-cross-origin
        // - unsafe-url
    )
    .referrerPolicy(referrer -> referrer.disable())
)

推薦配置（平衡隱私和功能）：

.referrerPolicy(referrer -> referrer
    .policy(ReferrerPolicy.STRICT_ORIGIN_WHEN_CROSS_ORIGIN)
)

7. Permissions-Policy - 瀏覽器功能策略

.headers(headers -> headers
    .permissionsPolicy(permissions -> permissions
        .policy(
            "geolocation=(), " +
            "microphone=(), " +
            "camera=(), " +
            "payment=(), " +
            "usb=()"
        )
    )
)

效果：Permissions-Policy: geolocation=(), microphone=(), camera=(), payment=(), usb=()

常用功能限制：

功能	說明
`geolocation`	地理位置
`microphone`	麥克風
`camera`	攝像頭
`payment`	支付 API
`fullscreen`	全屏模式
`gyroscope`	陀螺儀
`accelerometer`	加速度計

8. Cache-Control - 緩存控制

.headers(headers -> headers
    // 禁用緩存頭
    .cacheControl(cache -> cache.disable())
    // 自定義緩存控制
    .cacheControl(cache -> cache
        .headerWriter(new CustomCacheControlHeaderWriter(
            CacheControl.maxAge(7, TimeUnit.DAYS).cachePublic()
        ))
    )
)

9. Cache-Control（靜態(tài)資源優(yōu)化）

// 針對靜態(tài)資源的緩存配置
.headers(headers -> headers
    .cacheControl(cache -> cache
        .headerWriter(new StaticResourceCacheControl())
    )
)

Spring Security 默認靜態(tài)資源緩存頭：

CSS/JS：max-age=31536000（1年）
HTML：no-cache, no-store, must-revalidate

2.2 一鍵配置所有安全頭

Spring Security 提供了便捷的默認配置：

.headers(headers -> headers
    .httpStrictTransportSecurity(hsts -> hsts
        .includeSubDomains(true)
        .maxAgeInSeconds(31536000)
    )
    .xssProtection(xss -> xss.block(true).headerValue("1; mode=block"))
    .contentSecurityPolicy(csp -> csp.policyDirectives("default-src 'self'"))
    .frameOptions(frame -> frame.sameOrigin())
    .contentTypeOptions(contentType -> {})  // 默認啟用
    .referrerPolicy(referrer -> referrer.policy(ReferrerPolicy.SAME_ORIGIN))
    .permissionsPolicy(permissions -> permissions.policy("geolocation=()"))
)

三、實戰(zhàn)：完整的響應頭配置

3.1 開發(fā)環(huán)境配置

@Configuration
@EnableWebSecurity
public class DevSecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .headers(headers -> headers
                // 禁用 HSTS（方便 HTTP 調(diào)試）
                .hsts(hsts -> hsts.disable())
                // 禁用 X-Frame-Options（iframe 調(diào)試）
                .frameOptions(frame -> frame.disable())
                // 禁用 CSP（避免 JS 被攔截）
                .contentSecurityPolicy(csp -> csp.disable())
                // 其他保持默認
                .contentTypeOptions(AbstractHttpConfigurer::disable)
                .xssProtection(xss -> xss.disable())
            );
        return http.build();
    }
}

3.2 生產(chǎn)環(huán)境配置

@Configuration
@EnableWebSecurity
public class ProdSecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .headers(headers -> headers
                // HSTS - 強制 HTTPS
                .hsts(hsts -> hsts
                    .includeSubDomains(true)
                    .maxAgeInSeconds(31536000)  // 1 年
                    .preload(true)
                )
                // CSP - 內(nèi)容安全策略
                .contentSecurityPolicy(csp -> csp
                    .policyDirectives(
                        "default-src 'self'; " +
                        "script-src 'self' 'unsafe-inline' 'unsafe-eval' https://cdn.example.com; " +
                        "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; " +
                        "img-src 'self' data: https:; " +
                        "font-src 'self' data: https://fonts.gstatic.com; " +
                        "connect-src 'self' https://api.example.com; " +
                        "frame-ancestors 'self'; " +
                        "base-uri 'self'; " +
                        "form-action 'self'"
                    )
                )
                // X-Frame-Options - 點擊劫持防護
                .frameOptions(frame -> frame.sameOrigin())
                // X-Content-Type-Options - MIME 嗅探防護
                .contentTypeOptions(AbstractHttpConfigurer::disable)
                // Referrer-Policy - 引用來源策略
                .referrerPolicy(referrer -> referrer
                    .policy(ReferrerPolicy.STRICT_ORIGIN_WHEN_CROSS_ORIGIN)
                )
                // Permissions-Policy - 瀏覽器功能限制
                .permissionsPolicy(permissions -> permissions
                    .policy(
                        "geolocation=(), " +
                        "microphone=(), " +
                        "camera=(), " +
                        "payment=(), " +
                        "usb=()"
                    )
                )
                // X-XSS-Protection（可選，已有 CSP 可禁用）
                .xssProtection(xss -> xss.disable())
            );
        return http.build();
    }
}

3.3 響應頭驗證

部署后使用 curl 驗證：

# 檢查所有安全響應頭
curl -I https://your-domain.com/
# 預期輸出：
# HTTP/2 200
# strict-transport-security: max-age=31536000; includeSubDomains; preload
# x-content-type-options: nosniff
# x-frame-options: SAMEORIGIN
# content-security-policy: default-src 'self'; ...
# referrer-policy: strict-origin-when-cross-origin
# permissions-policy: geolocation=(), microphone=(), ...

使用在線工具驗證：

securityheaders.com
observatory.mozilla.org

四、自定義響應頭

4.1 添加自定義 HeaderWriter

import org.springframework.security.web.header.HeaderWriter;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
public class CustomHeaderWriter implements HeaderWriter {
    @Override
    public void writeHeaders(HttpServletRequest request, HttpServletResponse response) {
        response.setHeader("X-Custom-Header", "custom-value");
        response.setHeader("X-Request-ID", UUID.randomUUID().toString());
    }
}
// 配置使用
.headers(headers -> headers
    .addHeaderWriter(new CustomHeaderWriter())
    // 或者使用多個
    .addHeaderWriter(new HeaderWriter() {
        @Override
        public void writeHeaders(HttpServletRequest request, HttpServletResponse response) {
            response.setHeader("X-Version", "1.0.0");
        }
    })
)

4.2 條件響應頭

public class ConditionalHeaderWriter implements HeaderWriter {
    @Override
    public void writeHeaders(HttpServletRequest request, HttpServletResponse response) {
        // 僅對 API 請求添加自定義頭
        if (request.getRequestURI().startsWith("/api/")) {
            response.setHeader("X-API-Version", "v1");
        }
        // 生產(chǎn)環(huán)境添加調(diào)試頭
        if (!isProductionEnvironment()) {
            response.setHeader("X-Debug-Mode", "true");
        }
    }
    private boolean isProductionEnvironment() {
        // 根據(jù)配置判斷
        return true;
    }
}

4.3 DelegatingHeaderWriter - 組合多個 Writer

@Bean
public HeaderWriter combinedHeaderWriter() {
    List<HeaderWriter> writers = List.of(
        new XFrameOptionsHeaderWriter(Mode.SAMEORIGIN),
        new StaticResourceCacheControl(),
        new CustomHeaderWriter()
    );
    return new DelegatingHeaderWriter(writers);
}

五、最佳實踐

5.1 響應頭優(yōu)先級

Spring Security 配置 > MVC 攔截器：Spring Security 的 HeaderWriterFilter 先執(zhí)行
后覆蓋前：同一個 Header，后設置的值會覆蓋前面的值（但 Set-Cookie 是追加）

5.2 配置建議

環(huán)境	建議
開發(fā)環(huán)境	禁用 HSTS 和 X-Frame-Options，方便調(diào)試
測試環(huán)境	啟用完整配置，驗證 CSP 策略
生產(chǎn)環(huán)境	啟用全部安全頭，配置合理的 CSP

5.3 CSP 漸進式實施

Report-Only 模式：先收集違規(guī)報告
逐步收緊策略：根據(jù)報告調(diào)整 CSP
完全強制執(zhí)行：確認無問題后移除 report-only

// 第一階段：僅報告
.contentSecurityPolicy(csp -> csp
    .policyDirectives("default-src 'self'")
    .reportOnly(true)
)
// 第二階段：完全啟用
.contentSecurityPolicy(csp -> csp
    .policyDirectives("default-src 'self'; script-src 'self'")
    .reportOnly(false)
)

5.4 安全頭與業(yè)務平衡

業(yè)務需求	推薦方案
第三方 JS 集成	使用 `script-src 'unsafe-inline'` 或 nonce 策略
內(nèi)聯(lián)樣式	使用 `style-src 'unsafe-inline'` 或 CSS nonce
Iframe 嵌套	配置 `frame-ancestors` 白名單
文件上傳	配置 `form-action` 限制提交目標

六、常見問題

Q1: X-Frame-Options 和 CSP frame-ancestors 同時配置會怎樣？

兩者都會生效，但 CSP frame-ancestors 是更現(xiàn)代的標準。建議：

主要使用 CSP frame-ancestors
X-Frame-Options 作為兼容性備份

.headers(headers -> headers
    .frameOptions(frame -> frame.sameOrigin())  // 備用
    .contentSecurityPolicy(csp -> csp
        .policyDirectives("frame-ancestors 'self'")  // 主要
    )
)

Q2: 如何動態(tài)修改 CSP？

可以通過 Controller 返回 Content-Security-Policy 頭動態(tài)覆蓋：

@RestController
public class CspController {
    @GetMapping("/api/csp-report")
    public ResponseEntity<Void> cspReport(@RequestBody CspViolationReport report) {
        log.warn("CSP Violation: {}", report);
        return ResponseEntity.ok().build();
    }
}

Q3: Spring Security 默認啟用哪些響應頭？

Spring Security 7 默認啟用（可通過 .headers().disable() 全部禁用）：

響應頭	默認值
`X-Frame-Options`	DENY
`X-Content-Type-Options`	nosniff
Strict-Transport-Security	未啟用（需配置）
`X-XSS-Protection`	1; mode=block（已廢棄）
Cache-Control（靜態(tài)資源）	max-age=31536000

Q4: 為什么 HSTS 不生效？

僅 HTTP 請求：HSTS 只對 HTTPS 響應生效
首次訪問：首次請求時設置，后續(xù)請求才生效
includeSubDomains：確保子域名也受保護

Q5: 如何測試 CSP？

// 瀏覽器控制臺會顯示違規(guī)信息
console.log('CSP test');
// 收集違規(guī)報告
window.addEventListener('securitypolicyviolation', (e) => {
    console.log('CSP Violation:', e);
});

七、總結(jié)

Spring Security 的響應頭配置是 Web 應用安全的重要組成：

理解執(zhí)行順序：Spring Security 過濾器優(yōu)先于 MVC 攔截器
正確配置：使用 http.headers() 而非 MVC 攔截器
漸進式部署：特別是 CSP，建議從 report-only 開始
持續(xù)驗證：使用工具定期檢查響應頭配置

通過合理配置這些響應頭，可以有效防范：

點擊劫持（X-Frame-Options）
MIME 嗅探攻擊（X-Content-Type-Options）
XSS 攻擊（CSP、X-XSS-Protection）
中間人攻擊（HSTS）
信息泄露（Referrer-Policy）

生產(chǎn)環(huán)境推薦配置：

.headers(headers -> headers
    .hsts(hsts -> hsts.includeSubDomains(true).maxAgeInSeconds(31536000))
    .contentSecurityPolicy(csp -> csp.policyDirectives(
        "default-src 'self'; script-src 'self' 'unsafe-inline'; " +
        "style-src 'self' 'unsafe-inline'; img-src 'self' data:; " +
        "frame-ancestors 'self'; base-uri 'self'; form-action 'self'"
    ))
    .frameOptions(frame -> frame.sameOrigin())
    .contentTypeOptions(AbstractHttpConfigurer::disable)
    .referrerPolicy(referrer -> referrer.policy(ReferrerPolicy.STRICT_ORIGIN_WHEN_CROSS_ORIGIN))
    .permissionsPolicy(permissions -> permissions.policy("geolocation=(), microphone=(), camera=()"))
)

參考文檔：

Spring Security 官方文檔 - Headers
MDN - CSP
OWASP - Security Headers

到此這篇關于Spring Security 7 響應頭配置完全指南的文章就介紹到這了,更多相關Spring Security響應頭內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！

您可能感興趣的文章:

java使用ZipInputStream實現(xiàn)讀取和寫入zip文件
zip文檔可以以壓縮格式存儲一個或多個文件,本文主要為大家詳細介紹了java如何使用ZipInputStream讀取Zip文檔與寫入,需要的小伙伴可以參考下
2023-11-11
如何在Spring data中使用r2dbc詳解
這篇文章主要給大家介紹了關于如何在Spring data中使用r2dbc的相關資料，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧
2020-11-11
淺談Java開發(fā)中的安全編碼問題
這篇文章主要介紹了淺談Java開發(fā)中的安全編碼問題，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧
2020-10-10
Java實現(xiàn)從jar包中讀取指定文件的方法
這篇文章主要介紹了Java實現(xiàn)從jar包中讀取指定文件的方法,涉及java針對jar文件的讀取及查找相關操作技巧,需要的朋友可以參考下
2017-08-08
Java當中讓事務回滾的幾種方式
這篇文章主要給大家介紹了關于Java當中讓事務回滾的幾種方式, 事務回滾通常用于在某些操作失敗時取消之前已執(zhí)行的所有操作,這樣,我們就可以保證數(shù)據(jù)的一致性,需要的朋友可以參考下
2023-08-08
前端RSA加密java后端解密示例代碼
這篇文章主要介紹了RSA非對稱加密的原理,前端使用公鑰加密數(shù)據(jù),后端使用私鑰解密,提供了前端和后端實現(xiàn)的示例代碼,包括依賴、接口、工具類等,文中通過代碼介紹的非常詳細,需要的朋友可以參考下
2024-11-11
Springboot中依賴注入的三種方式詳解
這篇文章主要介紹了Springboot中依賴注入的三種方式詳解,Setter Injection需要依賴@Autowired注解,使用方式與Field Injection有所不同,Field Injection時@Autowired是用在成員變量上,需要的朋友可以參考下
2023-09-09
什么是遞歸?用Java寫一個簡單的遞歸程序
這篇文章主要介紹了什么是遞歸?用Java寫一個簡單的遞歸程序，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧
2021-02-02
解讀@RequestBody的正確使用方法
這篇文章主要介紹了解讀@RequestBody的正確使用方法，具有一定借鑒價值
2018-01-01
Java的抽象方法和抽象類實例詳解
這篇文章主要介紹了Java的抽象方法和抽象類,結(jié)合實例形式詳細分析了java抽象方法和抽象類的相關原理、使用方法及操作注意事項,需要的朋友可以參考下
2019-09-09

最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线