在Play中设置HTTP标头！框架Web应用程序

Question

我在哪里可以在Play中设置安全HTTP标头！框架Web应用程序项目？我想设置标头，如X-Content-Type-Options到nosniff和X-Frame-Options到DENY。

我试图在nginx.conf文件中设置这些标题，但它不能与ZAP工具一起使用，因为ZAP工具提供了一个警告，在将它们设置到此文件后缺少这些标题。

链接：https://github.com/playframework/playframework/pull/2524

我已经试过了文档中的解决方案上Configuring Security Headers但是类SecurityHeadersFilter不存在在包说。

我正在使用Play！ 2.2.1和Java用于控制器。

Answer 1

如果您将其用作Play应用的反向代理，那么最好的做法是nginx。不要在你的nginx配置的http部分（根据your comment）添加标题，而是尝试将其添加到server块中。

server { 
     listen 80; 
     server_name *.something.com; 

     location /stuff { 
       alias ../; 

       add_header X-Frame-Options deny; 
       add_header X-XSS-Protection "1; mode=block"; 
       add_header X-Content-Type-Options nosniff; 
       add_header X-Content-Security-Policy "default-src 'self'; script-src 'self' ssl.google-analytics.com; img-src 'self' ssl.google-analytics.com"; 
     } 
     ... 
} 

导致头被正确地设置：

使用OWASP ZAP tool我可以验证报头被正确地设置。随着X-Frame-Options头不集：

当X-Frame-Options头为集：

Answer 2

升级到2.3.1播放并按照configure security headers instructions上playframework网站。请注意升级到2.3。作为2.3是必不可少的。 包含bug，这需要一种解决方法才能实现。