Question

默认值: false (security headers disabled).

设置公共安全头。 要启用，请将 security 设置为 true 或使用以下选项设置对象：

• hsts - 控制 'Strict-Transport-Security' header, 其中:

  • true - header 将被设置为 max-age=15768000 . 这是默认值.

  • a number - maxAge 参数将设置为提供的值。

  • 包含以下字段的对象：

    • maxAge - max-age 部分, 作为数字. 默认为 15768000 .
    • includeSubDomains - 一个布尔值，指定是否将“ includeSubDomains 标志添加到 header 中。
    • preload - 一个布尔值，指定是否添加 'preload' 标志 (用于提交域列入 Chrome's HTTP Strict Transport Security (HSTS) 预加载列表) 到 header

• xframe - 控制 'X-Frame-Options' header, 其中:

  • true - header 将被设置为 'DENY' . 这是默认值.

  • 'deny' - header 将被设置为 'DENY' 。

  • 'sameorigin' - header 将被设置为 'SAMEORIGIN' .

  • 指定 'allow-from' 规则的对象, 如下:

    • rule - 其中之一:
      • 'deny'
      • 'sameorigin'
      • 'allow-from'
    • source - 当 rule 为 'allow-from' 这用于形成 header 的其余部分，否则该字段将被忽略。 如果 rule 为 'allow-from' ，但 source 没有设置, 规则将自动设为 'sameorigin' .

• xss - boolean 控制 Internet Explorer 的 'X-XSS-PROTECTION' header . 默认为 true 与设置 header 为 '1; mode=block' 相同.

  • 注意: 此设置可能会在 Internet Explorer 8 以下版本中创建安全漏洞, 以及 IE8 的未修补版本。 查看 here 和 here 获取更多信息。 如果您积极支持旧版本的 IE， 明确将此标志设置为 false , 可能是明智之举。

• noOpen - boolean 控制 Internet Explorer 的 'X-Download-Options' header,阻止从您的上下文执行。 默认为 true 设置 header 为 'noopen' .

• noSniff - boolean 控制 'X-Content-Type-Options' header. 默认为 true 设置 header 为唯一的默认选项, 'nosniff' .

• referrer - 控制 'Referrer-Policy' header, 它具有以下可能的值。

  • false - 'Referrer-Policy' header 不会带着响应发送至客户端. 这是默认值.
  • '' - 指示客户端 Referrer-Policy 为 defined elsewhere , 例如在 meta 标签中。
  • 'no-referrer' - 指示客户端在发出请求时从不包含 referrer header 。
  • 'no-referrer-when-downgrade' - 指示客户端在从 HTTPS 导航到 HTTP 时从不包含 referrer。
  • 'same-origin' - 指示客户端仅在当前站点源上包含引用者。
  • 'origin' - 指示客户端包含引用者但删除路径信息，以便该值仅为当前源。
  • 'strict-origin' - 与 'origin' 相同，但指示客户端在从 HTTPS 转到 HTTP 时省略 referrer header。
  • 'origin-when-cross-origin' - 指示客户端在 referrer header 中包含同源请求的完整路径，但只包含 URL 的原始组件以用于跨源请求。
  • 'strict-origin-when-cross-origin' - 与 'origin-when-cross-origin' 相同，但是当从 HTTPS 转到 HTTP 时，客户端被指示省略引用者。
  • 'unsafe-url' - 指示客户端始终包含带有完整 URL 的引用者。