PHP：ヘッダー：x-content-typeにリンクされた.cssファイルを構成するには

Question

OWASP 2.6を使用すると攻撃が行われ、警告が表示されます。 'x-content-type-options-header missing' これは主にCSSファイルです。

誰かがindex.phpのWebページとしてphp/htmlファイルにリンクされたCSSファイルのヘッダレスポンスを設定する方法を教えてもらえますか？

Answer 1

OWASP ZAPでは、2.6、ソフトウェアは侵入テスト/スキャンを行います。私は、侵入テストで、侵入テストモードまたは「手動プロキシ」をFirefoxのブラウザに入れずに、侵入テストを行ったと言います。スイッチモードを使用すると、私は初心者のために情報を提供するフォーラムを見つけましたが、私はそれを参考にしていますインデックスに次のヘッダーを追加して、質問等におけるセキュリティ上の問題に応じて：

WebブラウザX：

header('Content-Type: text/html'); 
header('X-Content-Type-Options: nosniff', false); 
//stop cacheing of page 
header("Cache-Control: no-store, no-cache, must-revalidate"); // HTTP/1.1 
header("Cache-Control: post-check=0, pre-check=0", false); 
header("Expires: Sat, 26 Jul 1997 05:00:00 GMT"); // Date in the past 
header("Pragma: no-cache"); // HTTP/1.0 
header("Last-Modified: " . gmdate("D, d M Y H:i:s") . " GMT"); 
header("X-XSS-Protection: 1"); 
header("X-Frame-Options: SAMEORIGIN"); 

これは、さまざまなサイトのページ上の2つの潜在的なセキュリティ問題を扱いますSS保護は

それは "おそらく" CSSのコンテンツの場合には適用されない欠落

X-Content-Typeの-オプションヘッダーを有効にしません。しかし、あなたはあなたのapp/siteをよく知っています。関連する状況や機能が存在する可能性があります。

最終的には、最後にユーザーとして電話をかけることができます。そのため、結果の重大度は変更可能（偽陽性を含む）であり、アラートのフィルタ拡張がある理由です。

ZAPユーザグループは、ZAP上の質問を検索するにはここで見つけることができます：https://groups.google.com/forum/#!forum/zaproxy-users