Spring security 中的 Xss 保护是否默认启用？

Question

我想在我的应用程序中启用 Spring Security XSS 保护。

1) 阅读文档和博客，https://spring.io/blog/2013/08/23/spring-security-3-2-0-rc1-highlights-security-headers/ 表示默认存在 XSS

2) 而http://docs.spring.io/spring-security/site/docs/current/reference/html/headers.html 表示默认不存在

3) 如果我在扩展WebSecurityConfigurerAdapter 的类中的配置方法中使用http.headers().xssProtection()：这会禁用所有其他默认标头吗？

Answer 1

除非您特别包含以下代码以禁用默认设置，否则默认设置不会被禁用。

http.headers().defaultsDisabled()

注册点1和2，我的理解是blog和doc都有相同的信息。

X-XSS-Protection: 1; mode=block

过滤（过滤掉 XSS 攻击）通常默认启用，因此添加标头 通常只是确保它已启用并指示浏览器要做什么 当检测到 XSS 攻击时执行。