实用安全实施指南
用户经常在网站上输入敏感数据，例如姓名、地址、密码和银行详细信息。作为网络开发者，保护这些信息免遭使用各种漏洞窃取信息的恶意行为者的攻击至关重要，这些恶意行为者会利用这些信息来谋取私利。网络安全 的重点是帮助您保护您的网站免受这些攻击，并保护用户的敏感数据安全。
此页面列出了详细介绍在网站上实施安全功能的最佳实践的指南。虽然这些指南不涵盖所有可能的安全场景，也不能保证网站的完全安全，但遵循这些指南中的信息和最佳实践将使您的网站更安全。
内容安全基础
大多数这些指南与 HTTP 观测台 工具直接相关。观测台会对网站进行安全审计，并提供等级和得分，以及修复其发现的安全问题的建议。这些指南解释了如何解决 HTTP 观测台测试中发现的问题：该工具会链接到每个问题的相关指南，帮助您找到有效的解决方案。有趣的是，Mozilla 的内部开发团队在实施网站时会使用这些指南，以确保应用安全最佳实践。
下表中的指南按我们建议实施其描述的安全功能的顺序排列。此顺序是基于每个功能的安全影响以及从操作和开发角度来看其实施难易度的综合考量。该表提供有关每个功能的影响、实施难度、是否为必选以及简要描述的信息。
| 指南 | 影响 | 难度 | 必选 | 描述 |
|---|---|---|---|---|
| TLS 配置 | 中等 | 中等 | 是 | 使用适用于您用户群的最安全 传输层安全 (TLS) 配置。 |
| TLS：资源加载 | 最大 | 低 | 是 | 通过 HTTPS 加载被动和活动资源。 |
| TLS：HTTP 重定向 | 最大 | 低 | 是 | 网站必须重定向到 HTTPS；API 端点应完全禁用 HTTP。 |
| TLS：HSTS 实现 | 高 | 低 | 是 | 通过使用 HTTP 严格传输安全 (HSTS)，通知用户代理仅通过 HTTPS 连接到站点，即使最初选择的方案为 HTTP。 |
| 点击劫持防御 | 高 | 低 | 是 | 控制您的站点如何在 <iframe> 中进行框架，以防止 点击劫持。 |
| CSRF 防御 | 高 | 未知 | 变化 | 使用 SameSite Cookie 和反 CSRF 令牌来防御 跨站请求伪造 (CSRF)。 |
| 安全 Cookie 配置 | 高 | 中等 | 是 | 尽可能严格地设置所有 Cookie。 |
| CORP 实现 | 高 | 中等 | 是 | 通过使用跨域资源策略 (CORP) 来防御推测性侧信道攻击。 |
| MIME 类型验证 | 低 | 低 | 否 | 验证所有网站是否都为所有资源设置了正确的 MIME 类型。 |
| CSP 实现 | 高 | 高 | 是 | 使用 内容安全策略 (CSP) 对站点资源可以从何处加载进行细粒度控制。 |
| CORS 配置 | 高 | 低 | 是 | 通过使用 跨域资源共享 (CORS) 定义允许访问页面内容和加载其资源的非同源来源。 |
| 推荐人策略配置 | 低 | 低 | 是 | 通过 Referer 标头，提高用户隐私并防止内部 URL 泄露。 |
| robots.txt 配置 | 低 | 低 | 否 | 通过指示机器人 (例如搜索引擎索引器) 不要抓取网站上的某些路径来告知它们如何执行。 |
| SRI 实现 | 低 | 低 | 否 | 通过使用 子资源完整性 (SRI) 来验证获取的资源 (例如，来自 CDN) 是否在没有意外操作的情况下被交付。 |
用户信息安全
- 如何关闭表单自动完成功能
-
表单字段支持自动完成功能；也就是说，可以记住它们的值并在用户下次访问您的站点时自动填写。对于某些类型的数据，您可能希望禁用此功能；本文解释了如何操作。