XSS（跨站脚本攻击）是一种常见的Web安全漏洞，攻击者可以通过该漏洞将恶意脚本注入到用户的浏览器中。为了有效抵御这种攻击，除了在应用程序层面上进行防护外，还可以通过配置Nginx来增强安全性。本文将介绍如何配置Nginx以抵御XSS跨站脚本攻击。
1. 启用HTTP头部安全机制
Nginx可以通过设置HTTP响应头来增强对XSS攻击的防御。以下是一些常用的安全头部配置：
1.1 X-XSS-Protection
该头部用于启用浏览器的XSS过滤器。尽管现代浏览器逐渐弃用了这一功能，但在某些情况下仍然可以起到一定的作用。可以在Nginx配置文件中添加如下代码：
add_header X-XSS-Protection "1; mode=block";
1.2 Content-Security-Policy (CSP)
CSP是一个更强大的防护机制，它允许你定义哪些资源是可以加载和执行的。通过限制外部脚本、样式和其他内容的来源，可以有效防止XSS攻击。例如：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://apis.example.com; object-src 'none';";
以上配置表示默认只允许来自当前站点的资源，并且脚本只能从当前站点或指定API服务器加载，不允许加载任何对象类型的内容。
2. 限制请求方法
XSS攻击通常发生在用户与网站交互时，因此我们可以限制Nginx接受的HTTP请求方法，减少潜在的风险点。
例如，在Nginx配置中加入如下规则：
if ($request_method !~ ^(GET|POST|HEAD)$ ) { return 405;
}
这段代码确保只有GET、POST和HEAD请求被处理，其他类型的请求将返回405 Method Not Allowed状态码。
3. 使用Strict-Transport-Security (HSTS)
HSTS强制浏览器通过HTTPS协议访问网站，避免中间人攻击利用HTTP连接插入恶意脚本。在Nginx配置中添加：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
这行命令会告诉浏览器在未来一年内始终使用HTTPS连接该网站及其子域名。
4. 禁止缓存敏感信息
为了避免敏感数据被缓存导致泄露风险，可以在Nginx中设置禁止缓存相关头部：
location /sensitive-endpoint/ { add_header Cache-Control "no-store, no-cache, must-revalidate, proxy-revalidate, max-age=0"; add_header Pragma no-cache; add_header Expires "Wed, 11 Jan 1984 05:00:00 GMT";
}
这些头部会指示浏览器不要缓存指定路径下的响应内容。
通过上述几种方式配置Nginx，可以在一定程度上提高Web应用抵御XSS攻击的能力。然而需要注意的是，XSS防护不仅仅依赖于Nginx层面的措施，还需要结合应用程序自身的编码规范和输入输出验证等手段共同发挥作用。定期更新软件版本并关注最新的安全建议也是保持系统安全的重要方面。
