HTTP X-XSS-Protection 响应头是Internet Explorer，Chrome和Safari的一个功能，
当检测到跨站脚本攻击 (XSS)时，浏览器将停止加载页面。虽然这些保护在现代浏览器中基本上是不必要的，
当网站实施一个强大的Content-Security-Policy来禁用内联的JavaScript ('unsafe-inline')时, 
他们仍然可以为尚不支持 CSP 的旧版浏览器的用户提供保护。

语法
X-XSS-Protection: 0    //禁止XSS过滤。

X-XSS-Protection: 1   
//启用XSS过滤（通常浏览器是默认的）。 如果检测到跨站脚本攻击，浏览器将清除页面（删除不安全的部分）。

X-XSS-Protection: 1; mode=block  
//启用XSS过滤。 如果检测到攻击，浏览器将不会清除页面，而是阻止页面加载。

X-XSS-Protection: 1; report=<reporting-uri>
启用XSS过滤。 如果检测到跨站脚本攻击，浏览器将清除页面并使用CSP report-uri指令的功能发送违规报告。

F.Y.I.: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/X-XSS-Protection

X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页面可否在 <frame>, 
<iframe> 或者 <object> 中展现的标记。网站可以使用此功能，
来确保自己网站的内容没有被嵌到别人的网站中去，
也从而避免了点击劫持 (clickjacking) 的攻击。

X-Frame-Options 有三个值:
DENY 表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。
SAMEORIGIN 表示该页面可以在相同域名页面的 frame 中展示。
ALLOW-FROM uri  表示该页面可以在指定来源的 frame 中展示。

换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，
在同域名页面中同样会无法加载。另一方面，
如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。

F.Y.I. https://developer.mozilla.org/zh-CN/docs/Web/HTTP/X-Frame-Options

X-Content-Type-Options 响应首部相当于一个提示标志，
被服务器用来提示客户端一定要遵循在 Content-Type 首部中对  MIME 类型 的设定，
而不能对其进行修改。这就禁用了客户端的 MIME 类型嗅探行为，换句话说，
也就是意味着网站管理员确定自己的设置没有问题。

语法： X-Content-Type-Options: nosniff

F.Y.I. https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/X-Content-Type-Options

HTTP Strict Transport Security (通常简称为HSTS) 是一个安全功能，
它告诉浏览器只能通过HTTPS访问当前资源, 禁止HTTP方式.

开启HSTS只需要当通过HTTPS方式访问你的网站时，返回 Strict-Transport-Security HTTP 头信息:

Strict-Transport-Security: max-age=expireTime [; includeSubdomains]

expireTime 过期时间，单位秒，浏览器需要记住这个网站只能通过HTTPS访问的时间。
includeSubdomains 可选: 如果这个可选的参数定义了，这条规则对于网站的所有子域同样生效。

F.Y.I. https://developer.mozilla.org/zh-CN/docs/Security/HTTP_Strict_Transport_Security

有如下指令：

对应的值：

行内代码：

比如：<script>console.log("foo");</script>
或者 <div onclick="console.log('click')">Click me!</div>

eval()及相关的

eval("console.log('some output');");

window.setTimeout("alert('Hello World!');", 500);

var f = new Function("console.log('foo');");

F.Y.I.

• 前端安全配置之Content-Security-Policy: https://www.cnblogs.com/heyuqing/p/6215761.html
• https://developer.mozilla.org/en-US/Add-ons/WebExtensions/Content_Security_Policy
• Content Security Policy 入门教程: http://www.ruanyifeng.com/blog/2016/09/csp.html