PHP中的HTTP安全头配置：HSTS, Referrer-Policy与Expect-CT的设置

各位同学，大家好。今天我们要讨论的是PHP应用安全中非常重要的一环：HTTP安全头的配置。具体来说，我们将深入了解 HSTS (HTTP Strict Transport Security)、Referrer-Policy 以及 Expect-CT 三种安全头，学习如何在PHP环境中正确配置它们，以提升网站的安全性。

HTTP安全头是服务器在HTTP响应中返回的元数据，它们指示浏览器应该如何处理网站的内容，从而减轻各种攻击，如中间人攻击、跨站脚本攻击 (XSS) 以及点击劫持等。配置正确的安全头可以显著增强网站的安全性，而配置不当则可能适得其反。

1. HTTP Strict Transport Security (HSTS)

1.1 什么是HSTS？

HSTS 是一种安全策略机制，它告诉浏览器只能通过 HTTPS 访问某个网站，即使客户端通过 HTTP 发起请求。这可以防止中间人攻击，例如 SSL Stripping 攻击，在这种攻击中，攻击者拦截 HTTP 请求并将其重定向到 HTTPS 站点，从而窃取用户的敏感信息。

1.2 HSTS 的工作原理

当服务器在 HTTP 响应中设置了 Strict-Transport-Security 头时，浏览器会记住这个信息。在随后的访问中，即使客户端尝试通过 HTTP 访问该站点，浏览器也会自动将其升级到 HTTPS。这意味着浏览器会绕过 HTTP 请求，直接发起 HTTPS 请求。

1.3 HSTS 头部的语法

Strict-Transport-Security: max-age=<expire-time>[; includeSubDomains][; preload]

max-age=<expire-time>: 指定 HSTS 策略的有效时间，单位为秒。浏览器在这个时间段内会强制使用 HTTPS。推荐设置为至少一年 (31536000 秒)。
includeSubDomains: 可选参数，指定该 HSTS 策略是否也适用于该域名下的所有子域名。如果启用，子域名也会强制使用 HTTPS。
preload: 可选参数，指示浏览器应该预加载该站点的 HSTS 策略。这需要将域名提交到 HSTS 预加载列表 (https://hstspreload.org/)。

1.4 在PHP中配置HSTS

在 PHP 中，可以通过 header() 函数来设置 HSTS 头。例如：

<?php
// 设置 HSTS 头，有效期一年，包含子域名
header('Strict-Transport-Security: max-age=31536000; includeSubDomains');

// 设置 HSTS 头，有效期一年，包含子域名，并启用预加载
header('Strict-Transport-Security: max-age=31536000; includeSubDomains; preload');
?>

1.5 HSTS 配置的最佳实践

逐步启用 HSTS: 首先使用较短的 max-age 值进行测试，例如几分钟或几小时。确保网站在 HTTPS 下运行正常，然后再逐步增加 max-age 的值。
包含子域名: 如果网站的子域名也使用 HTTPS，建议启用 includeSubDomains 参数，以确保所有子域名都受到 HSTS 保护。
考虑预加载: 如果网站已经稳定运行在 HTTPS 下，并且希望进一步提升安全性，可以考虑将域名添加到 HSTS 预加载列表。
避免混合内容: 确保网站上的所有资源（例如图片、CSS、JavaScript）都通过 HTTPS 加载，避免混合内容警告。

1.6 HSTS 常见问题

HTTP 重定向到 HTTPS: 即使设置了 HSTS，仍然建议配置 HTTP 重定向到 HTTPS，以便在浏览器尚未收到 HSTS 头时，将用户引导到安全连接。
浏览器兼容性: HSTS 并非所有浏览器都支持。需要考虑目标用户的浏览器类型和版本。
证书问题: 确保网站的 SSL/TLS 证书有效且配置正确，否则 HSTS 可能会导致用户无法访问网站。

2. Referrer-Policy

2.1 什么是 Referrer-Policy？

Referrer-Policy HTTP 响应头控制浏览器在发送 HTTP 请求时，Referer 请求头中包含哪些信息。 Referer 头包含发起请求的页面的 URL。通过控制 Referer 头的信息，可以提高用户的隐私和安全性。

2.2 Referrer-Policy 的工作原理

当用户从一个网站（A）点击链接跳转到另一个网站（B）时，浏览器通常会在发送给网站 B 的 HTTP 请求中包含 Referer 头。 Referer 头中包含网站 A 的 URL，这使得网站 B 可以知道用户是从哪个页面跳转过来的。

Referrer-Policy 允许网站控制浏览器在 Referer 头中发送哪些信息，从而保护用户的隐私和安全。

2.3 Referrer-Policy 的可用值

Referrer-Policy 头支持多种值，每种值都定义了不同的 Referer 头信息发送策略。

值	描述
`no-referrer`	永远不发送 `Referer` 头。
`no-referrer-when-downgrade`	在 HTTPS 到 HTTP 的降级连接中不发送 `Referer` 头。在其他情况下（HTTPS 到 HTTPS，HTTP 到 HTTP，HTTP 到 HTTPS），发送完整的 URL。这是浏览器默认策略。
`origin`	只发送源（协议、主机名和端口）。例如，如果从 `https://www.example.com/page.html` 发起请求，则 `Referer` 头将包含 `https://www.example.com/`。
`origin-when-cross-origin`	对于同源请求，发送完整的 URL。对于跨域请求，只发送源。
`same-origin`	对于同源请求，发送完整的 URL。对于跨域请求，不发送 `Referer` 头。
`strict-origin`	对于同源请求，发送源。对于跨域请求，如果是 HTTPS 到 HTTPS，则发送源；如果是 HTTPS 到 HTTP，则不发送 `Referer` 头。
`strict-origin-when-cross-origin`	对于同源请求，发送完整的 URL。对于跨域请求，如果是 HTTPS 到 HTTPS，则发送源；如果是 HTTPS 到 HTTP，则不发送 `Referer` 头。这是推荐的策略。
`unsafe-url`	总是发送完整的 URL，无论请求的协议如何。警告：此策略是不安全的，因为它会将敏感信息（例如 URL 中的查询参数）暴露给第三方。

2.4 在PHP中配置 Referrer-Policy

在 PHP 中，可以通过 header() 函数来设置 Referrer-Policy 头。例如：

<?php
// 设置 Referrer-Policy 头，使用 strict-origin-when-cross-origin 策略
header('Referrer-Policy: strict-origin-when-cross-origin');

// 设置 Referrer-Policy 头，使用 origin 策略
header('Referrer-Policy: origin');

// 设置 Referrer-Policy 头，不发送 Referer 头
header('Referrer-Policy: no-referrer');
?>

2.5 Referrer-Policy 配置的最佳实践

选择合适的策略: 根据网站的需求和安全考量，选择合适的 Referrer-Policy 值。strict-origin-when-cross-origin 通常是一个不错的选择，因为它在保护用户隐私的同时，仍然允许网站获取一些 Referer 信息。
避免使用 unsafe-url: 除非有非常特殊的需求，否则强烈建议避免使用 unsafe-url 策略，因为它会将敏感信息暴露给第三方。
测试和监控: 在部署 Referrer-Policy 策略后，进行测试和监控，确保它不会影响网站的功能。

2.6 Referrer-Policy 常见问题

浏览器兼容性: Referrer-Policy 并非所有浏览器都支持。需要考虑目标用户的浏览器类型和版本。
与其他安全头的交互: Referrer-Policy 可能会与其他安全头（例如 CSP）相互影响。需要仔细测试和配置，以确保所有安全头协同工作。

3. Expect-CT

3.1 什么是 Expect-CT？

Expect-CT HTTP 响应头允许网站要求浏览器强制执行证书透明度 (Certificate Transparency, CT)。 CT 是一种开放标准，旨在提高 SSL/TLS 证书的安全性和可信度。

3.2 Expect-CT 的工作原理

当服务器在 HTTP 响应中设置了 Expect-CT 头时，浏览器会检查网站的 SSL/TLS 证书是否符合 CT 的要求。如果证书不符合 CT 的要求，浏览器将拒绝连接，并显示错误信息。

3.3 Expect-CT 头部的语法

Expect-CT: max-age=<expire-time>[, enforce][, report-uri=<report-uri>]

max-age=<expire-time>: 指定 Expect-CT 策略的有效时间，单位为秒。浏览器在这个时间段内会强制执行 CT。
enforce: 可选参数，指定浏览器应该强制执行 CT。如果启用，当证书不符合 CT 的要求时，浏览器将拒绝连接。
report-uri=<report-uri>: 可选参数，指定一个 URL，浏览器会将 CT 违规报告发送到该 URL。

3.4 在PHP中配置 Expect-CT

在 PHP 中，可以通过 header() 函数来设置 Expect-CT 头。例如：

<?php
// 设置 Expect-CT 头，有效期 30 天，强制执行 CT，并指定报告 URI
header('Expect-CT: max-age=2592000, enforce, report-uri="https://example.com/report"');

// 设置 Expect-CT 头，有效期 30 天，不强制执行 CT，并指定报告 URI
header('Expect-CT: max-age=2592000, report-uri="https://example.com/report"');
?>

3.5 Expect-CT 配置的最佳实践

逐步启用 Expect-CT: 首先使用较短的 max-age 值进行测试，例如几分钟或几小时。确保网站的证书符合 CT 的要求，然后再逐步增加 max-age 的值。
配置 report-uri: 配置 report-uri 可以帮助网站及时发现和解决 CT 违规问题。
监控报告: 定期监控 report-uri 收到的报告，以便及时发现和解决问题。

3.6 Expect-CT 常见问题

证书透明度: 确保网站的 SSL/TLS 证书已启用 CT。
浏览器兼容性: Expect-CT 并非所有浏览器都支持。需要考虑目标用户的浏览器类型和版本。
报告格式: 了解 report-uri 收到的报告格式，以便正确解析和处理报告。

4. 示例：综合配置

下面是一个示例，展示了如何在 PHP 中同时配置 HSTS、Referrer-Policy 和 Expect-CT 头：

<?php

// 设置 HSTS 头，有效期一年，包含子域名，并启用预加载
header('Strict-Transport-Security: max-age=31536000; includeSubDomains; preload');

// 设置 Referrer-Policy 头，使用 strict-origin-when-cross-origin 策略
header('Referrer-Policy: strict-origin-when-cross-origin');

// 设置 Expect-CT 头，有效期 30 天，强制执行 CT，并指定报告 URI
header('Expect-CT: max-age=2592000, enforce, report-uri="https://example.com/report"');

?>

注意事项：

以上代码片段应该放置在 PHP 脚本的最前面，在任何输出之前。
确保 https://example.com/report 是一个有效的 URL，并且能够接收和处理 CT 违规报告。
在实际部署之前，务必进行测试，以确保配置正确且不会影响网站的功能。

5. 通过 .htaccess 文件配置

除了在 PHP 代码中直接设置 HTTP 安全头，还可以通过 .htaccess 文件进行配置。这种方式通常更方便管理，并且不需要修改 PHP 代码。

以下是一个 .htaccess 文件的示例，展示了如何配置 HSTS、Referrer-Policy 和 Expect-CT 头：

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Expect-CT "max-age=2592000, enforce, report-uri="https://example.com/report""
</IfModule>

注意事项：

确保 Apache 服务器启用了 mod_headers 模块。
将以上代码添加到网站根目录下的 .htaccess 文件中。
重启 Apache 服务器以使配置生效。

6. 使用 Nginx 配置

如果你的网站使用 Nginx 作为 Web 服务器，可以通过 Nginx 的配置文件来设置 HTTP 安全头。

以下是一个 Nginx 配置文件的示例，展示了如何配置 HSTS、Referrer-Policy 和 Expect-CT 头：

server {
    listen 443 ssl;
    server_name example.com;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
    add_header Referrer-Policy "strict-origin-when-cross-origin";
    add_header Expect-CT "max-age=2592000, enforce, report-uri="https://example.com/report"";

    # 其他配置...
}

注意事项：

将以上代码添加到 Nginx 的配置文件中。
重启 Nginx 服务器以使配置生效。

7. 自动化配置

手动配置 HTTP 安全头可能会比较繁琐，特别是当网站有很多页面时。可以使用一些工具或库来自动化配置 HTTP 安全头。

SecurityHeaders.io: 一个在线工具，可以扫描网站并提供关于 HTTP 安全头的建议。
中间件: 许多 Web 框架都提供了中间件，可以自动设置 HTTP 安全头。例如， Laravel 框架提供了 EnsureSecurityHeaders 中间件。

8. 结论：保障网站安全，从HTTP头开始

配置正确的 HTTP 安全头是保护网站免受各种攻击的重要措施。通过了解 HSTS、Referrer-Policy 和 Expect-CT 的工作原理，并正确配置它们，可以显著提高网站的安全性，保护用户的隐私。

请记住，安全是一个持续的过程，需要不断学习和改进。

在设置HTTP安全头的时候，务必遵循最佳实践，并进行充分的测试和监控。逐步启用HSTS，选择合适的Referrer-Policy策略，并配置Expect-CT的报告URI，可以帮助你构建一个更安全的网站。

希望今天的讲解对大家有所帮助。谢谢大家！