我有很多这样的“控制器”：
app.get('/',function(req,res){
var stuff = { 'title': 'blah' };
res.render('mytemplate',stuff);
});
注意 res.render？我想将此标头添加到我制作的每个响应标头中：
X-XSS-Protection: 0
如何自动添加响应头？
【问题讨论】：
标签： javascript node.js http express url
您可能希望将app.use 与您自己的中间件一起使用：
app.use(function(req, res, next) {
res.header('X-XSS-Protection', 0);
next();
});
【讨论】：
app.use
res.set is an alias 是这里使用的方法 -- res.header -- 是别名的函数
// global controller
app.get('/*',function(req,res,next){
res.header('X-XSS-Protection' , 0 );
next(); // http://expressjs.com/guide.html#passing-route control
});
只要确保这是您添加的第一个控制器，顺序很重要。
【讨论】：
对于express 4.x，惯用方式如下：
// no mount path; executed for every request.
app.use(function (req, res, next) {
res.set('X-XSS-Protection', 0);
next();
});
describe('Response Headers', function () {
it('responds with header X-XSS-Protection: 0', function (done) {
hippie(app)
.get('/any/route/you/can/think/of')
.expectHeader('X-XSS-Protection', 0)
.end(done);
});
});
% npm install --save-dev mocha hippie
【讨论】：
您可以像这样创建自己的中间件方法：
addToHeader = function (req, res, next) {
console.log("add to header called ... " + req.url);
res.header('X-XSS-Protection', '0');
next();
}
然后像这样改变你的路线：
app.get('/', addToHeader, function(req,res){
var stuff = { 'title': 'blah' };
res.render('mytemplate',stuff);
});
应该可以。
【讨论】：
我发现注入默认标头的另一个好地方是在路由中间件期间。这样，路由器实例控制的所有路由都将收到标头。
例如：
//...
var router = express.Router();
// middleware for all routes
router.use(function(req, res, next) {
// inject default headers
res.header('cache-control', 'private, max-age=0');
res.header('expires', new Date(Date.now()).toUTCString());
next();
});
// all routes below will now inherit
// the middleware's default headers
router.get('/users', function(req, res){
// I will return the user list, with default headers
// ...
});
【讨论】：
使用middleware...
app.use(function (req, res, next) {
res.header("Access-Control-Allow-Origin", "*")
res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept")
next()
})
但请确保您在您的 API 方法之前使用它。像这样：
const app = express()
// middleware
app.use(function (req, res, next) {
res.header("Access-Control-Allow-Origin", "*")
res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept")
next()
})
// api
app.get('/user', (req, res, next) => {
service.doSomething
.then(data => res.send(data))
.catch(next)
})
app.use(handleError)
我花了一段时间才弄明白。我没有在任何地方看到它，所以添加它以补充以前的答案。
【讨论】：
我想指出，这些答案都没有真正回答这个问题；该问题具体与呈现响应有关；例如对于这样的应用：
const router = require('express').Router();
router.use('/test.json', (req, res) => res.json({ test: 'hi' });
router.use('/test.html', (req, res) => res.render('test'));
不清楚如何将标头（例如 CSP 标头，可能非常冗长）仅添加到您的 HTML 响应中。 Express 没有专门做这件事的钩子。目前唯一的选择是组织你的代码，这样你就不必这样做了，例如
app.use(jsonRouter);
app.use(htmlRouter);
...它允许您按照其他一些答案的建议进行操作，并添加通用中间件来设置标题。
【讨论】：