diff options
Diffstat (limited to 'files/ru/web/http/headers/x-xss-protection/index.html')
| -rw-r--r-- | files/ru/web/http/headers/x-xss-protection/index.html | 88 |
1 files changed, 88 insertions, 0 deletions
diff --git a/files/ru/web/http/headers/x-xss-protection/index.html b/files/ru/web/http/headers/x-xss-protection/index.html new file mode 100644 index 0000000000..29a0a84844 --- /dev/null +++ b/files/ru/web/http/headers/x-xss-protection/index.html @@ -0,0 +1,88 @@ +--- +title: X-XSS-Protection +slug: Web/HTTP/Headers/X-XSS-Protection +tags: + - HTTP + - XSS + - Безопасность + - Заголовок + - Справка +translation_of: Web/HTTP/Headers/X-XSS-Protection +original_slug: Web/HTTP/Заголовки/X-XSS-Protection +--- +<div>{{HTTPSidebar}}</div> + +<p>Заголовок ответа HTTP <strong><code>X-XSS-Protection</code></strong> это особенность Internet Explorer, Chrome и Safari, которая останавливает загрузку страниц при обнаружении ({{Glossary("XSS")}}) атаки. Хотя эти меры защиты не требуются в большинстве случаев для современных браузеров, когда сайты внедряют сильную политику безопасности контента {{HTTPHeader("Content-Security-Policy")}}, которая отключает использование встроенного JavaScript (<code>'unsafe-inline'</code>), они могут обеспечить защиту для пользователей, использующих устаревшие версии браузеров, не поддерживающих {{Glossary("CSP")}}.</p> + +<table class="properties"> + <tbody> + <tr> + <th scope="row">Тип заголовка</th> + <td>{{Glossary("Response header")}}</td> + </tr> + <tr> + <th scope="row"> + <p>Запрещенное имя заголовка</p> + + <p>{{Glossary("Forbidden header name")}}</p> + </th> + <td>no</td> + </tr> + </tbody> +</table> + +<h2 id="Синтаксис">Синтаксис</h2> + +<pre class="syntaxbox">X-XSS-Protection: 0 +X-XSS-Protection: 1 +X-XSS-Protection: 1; mode=block +X-XSS-Protection: 1; report=<reporting-uri> +</pre> + +<dl> + <dt>0</dt> + <dd>Отключает фильтрацию XSS.</dd> + <dt>1</dt> + <dd>Включает фильтрацию XSS (по-умолчанию в браузерах). Если будет замечена попытка межсайтового скриптинга(XSS), браузер удалит небезопасное содержимое.</dd> + <dt>1; mode=block</dt> + <dd>Включает фильтрацию XSS. Вместо того, чтобы очищать содержимое страницы, браузер предотвратит отображение страницы, если заметит атаку.</dd> + <dt>1; report=<reporting-URI> (Chromium only)</dt> + <dd>Включает фильтрацию XSS. При обнаружении атаки межсайтового скриптинга, браузер очистит страницу от небезопасного содержимого и сообщит о нарушении. Для отправки отчёта используется функциональные возможности директивы CSP {{CSP("report-uri")}}.</dd> +</dl> + +<h2 id="Пример">Пример</h2> + +<p>Блокировка загрузки страницы, при обнаружении отражённой (непостоянной) XSS:</p> + +<pre class="brush: bash">X-XSS-Protection: 1; mode=block</pre> + +<p>PHP</p> + +<pre class="brush: php">header("X-XSS-Protection: 1; mode=block");</pre> + +<p>Apache (.htaccess)</p> + +<pre class="brush: bash"><IfModule mod_headers.c> + Header set X-XSS-Protection "1; mode=block" +</IfModule></pre> + +<h2 id="Спецификации">Спецификации</h2> + +<p>Не является частью каких-либо спецификай или черновиков.</p> + +<h2 id="Поддерживается_браузерами">Поддерживается браузерами</h2> + +<p class="hidden">The compatibility table in this page is generated from structured data. If you'd like to contribute to the data, please check out <a href="https://github.com/mdn/browser-compat-data">https://github.com/mdn/browser-compat-data</a> and send us a pull request.</p> + +<p>{{Compat("http.headers.X-XSS-Protection")}}</p> + +<h2 id="Смотри_также">Смотри также</h2> + +<ul> + <li>{{HTTPHeader("Content-Security-Policy")}}</li> + <li><a href="https://blogs.msdn.microsoft.com/ieinternals/2011/01/31/controlling-the-xss-filter/">Controlling the XSS Filter – Microsoft</a></li> + <li><a href="https://www.virtuesecurity.com/blog/understanding-xss-auditor/">Understanding XSS Auditor – Virtue Security</a></li> + <li> + <p><a href="http://blog.innerht.ml/the-misunderstood-x-xss-protection/">The misunderstood X-XSS-Protection – blog.innerht.ml</a></p> + </li> +</ul> |