X-XSS-Protection 是一個在早期瀏覽器並不支援 CSP 時，IE 所開發出預防 XSS 攻擊的 header，後來 chrome 與 sarfari 等瀏覽器也開始支援。(不過目前瀏覽器幾乎都支援 CSP 1.0 了，根本上還是設定 CSP (Content-Seciruty-Policy) 較安全。 畢竟這個 header 偵測 XSS 攻擊有一套過濾的方法 (IE 預設開啟)，僅有限程度的防範，並不完全可以防止 XSS。 目前支援度為下圖，有部分瀏覽器(如：firefox)並不支援。 這邊簡單介紹用法，通常我們會在支援早期(如：ie8)瀏覽器時設置，其餘則設定 CSP 會更有效的防止 XSS 開啟 XSS filter 過濾，當偵測到 XSS ，阻擋頁面載入。 <?php header(“X-XSS-Protection: 1; mode=block”); ?> 開啟 XSS filter 過濾，當偵測到 XSS ，過濾此資源載入。 <?php header(“X-XSS-Protection: 1;”); ?> 關閉 XSS filter 過濾 […]