即使启用了xss也会执行脚本

Question

我正在nginx服务器（1.12.2）上运行我的网站。我正在为我的网站使用django框架。

我在Django的settings.py中启用了X-XSS保护，

SECURE_BROWSER_XSS_FILTER = True
SECURE_CONTENT_TYPE_NOSNIFF = TRUE

在nginx conf中，我添加了标头以启用XSS保护。

在“网络”选项卡中，我可以在响应标题中看到标题类型。但是，当我以表单形式输入脚本（例如警报）时，即使启用了xss，该脚本也会被执行。

Answer 1

X-XSS-Protection标头仅处理反射的XSS攻击。

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-XSS-Protection

听起来您是否希望浏览器根本不执行任何脚本？在这种情况下，我认为...

Content-Security-Policy: script-src 'none';

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/script-src

可能会解决问题。