HTTP-заголовок X-XSS-Protection — это заголовок ответа, который использовался в Internet Explorer, Chrome и Safari для блокировки загрузки страниц при обнаружении отражённых атак межсайтового скриптинга (XSS). В современных браузерах такая защита в основном не нужна, если сайты используют строгую политику Content-Security-Policy, запрещающую использование встроенного JavaScript ('unsafe-inline').

Вместо фильтрации XSS рекомендуется использовать Content-Security-Policy.

Синтаксис

X-XSS-Protection: 0
X-XSS-Protection: 1
X-XSS-Protection: 1; mode=block
X-XSS-Protection: 1; report=<reporting-uri>

Директивы

0

Отключает фильтрацию XSS.

1

Включает фильтрацию XSS (обычно включена по умолчанию в браузерах). Если обнаружена атака межсайтового скриптинга, браузер очистит страницу (удалит небезопасные части).

1; mode=block

Включает фильтрацию XSS. Вместо очистки страницы браузер не позволит отобразить её, если обнаружит атаку.

1; report=<reporting-URI> (только Chromium)

Включает фильтрацию XSS. Если обнаружена атака межсайтового скриптинга, браузер очистит страницу и сообщит о нарушении. Для отправки отчёта используется функциональность директивы report-uri политики CSP.

Вопросы безопасности

Уязвимости, вызванные фильтрацией XSS

Рассмотрим следующий фрагмент HTML-кода веб-страницы:

<script>
  var productionMode = true;
</script>
<!-- [...] -->
<script>
  if (!window.productionMode) {
    // Some vulnerable debug code
  }
</script>

Этот код полностью безопасен, если браузер не выполняет фильтрацию XSS. Однако если он её выполняет и поисковый запрос равен ?something=%3Cscript%3Evar%20productionMode%20%3D%20true%3B%3C%2Fscript%3E, браузер может выполнить скрипты на странице, игнорируя <script>var productionMode = true;</script> (полагая, что сервер включил его в ответ, поскольку оно присутствовало в URI). В результате window.productionMode будет вычислено как undefined, и небезопасный отладочный код будет выполнен.

Установка заголовка X-XSS-Protection в значение 0 или 1; mode=block предотвращает уязвимости, подобные описанной выше. В первом случае браузер выполнит все скрипты, а во втором — полностью прекратит обработку страницы (хотя этот подход может быть уязвим для атак по сторонним каналам, если сайт можно встроить в <iframe>).

Пример

Блокировка загрузки страниц при обнаружении отражённых атак XSS:

X-XSS-Protection: 1; mode=block

PHP

header("X-XSS-Protection: 1; mode=block");

Apache (.htaccess)

<IfModule mod_headers.c>
  Header set X-XSS-Protection "1; mode=block"
</IfModule>

Nginx

add_header "X-XSS-Protection" "1; mode=block";

Спецификации

Не входит ни в одну спецификацию или проект спецификации.

Совместимость с браузерами

См. также

• Content-Security-Policy
• Управление фильтром XSS — Microsoft
• Понимание XSS Auditor — Virtue Security
• Непонятый X-XSS-Protection — blog.innerht.ml