假设有一个运行良好的Spring Security和Spring MVC的Hello World示例。
当我使用Wireshark进行跟踪时,我看到HTTP请求中出现以下标志。
我想将这个添加到我的头部:
我知道X-Frame-Options几乎可以完成相同的工作,但它仍然让我感到放心。现在,我猜我需要在我的Spring安全配置的configure函数下进行操作,但我不知道具体怎么做,即我想.headers().something.something(self)。
当我使用Wireshark进行跟踪时,我看到HTTP请求中出现以下标志。
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Pragma: no-cache
Expires: 0
Strict-Transport-Security: max-age=31536000 ; includeSubDomains
X-Frame-Options: DENY
Set-Cookie: JSESSIONID=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX; Path=/; Secure; HttpOnly
我想将这个添加到我的头部:
Content-Security-Policy: script-src 'self'
我知道X-Frame-Options几乎可以完成相同的工作,但它仍然让我感到放心。现在,我猜我需要在我的Spring安全配置的configure函数下进行操作,但我不知道具体怎么做,即我想.headers().something.something(self)。
@Override
protected void configure(HttpSecurity http) throws Exception {
http
// .csrf().disable()
// .headers().disable()
.authorizeRequests()
.antMatchers( "/register",
"/static/**",
"/h2/**",
"/resources/**",
"/resources/static/css/**",
"/resources/static/img/**" ,
"/resources/static/js/**",
"/resources/static/pdf/**"
).permitAll()
.anyRequest().authenticated()
.and()
.formLogin()
.loginPage("/login")
.permitAll()
.and()
.logout()
.permitAll();
}