Golang 框架中的安全头部设置与响应过滤

// 设置内容安全策略 (CSP) 头部以限制允许加载的资源
h.Header().Set("Content-Security-Policy", "default-src 'self'")

// 设置 X-XSS-Protection 头部以启用 XSS 保护
h.Header().Set("X-XSS-Protection", "1; mode=block")

// 设置 X-Frame-Options 头部以防止内容被包含在其他网站的 iframe 中
h.Header().Set("X-Frame-Options", "DENY")

import (
    "html"
    "net/http"
    "strings"
)

// 对响应进行 HTML 转义
func htmlEscape(w http.ResponseWriter) {
    w.Header().Set("Content-Type", "text/html; charset=utf-8")
    http.Redirect(w, r, strings.Replace(r.URL.Path, "&", "&", -1), http.StatusFound)
}

import (
    "github.com/gorilla/mux"
    "net/http"
)

func main() {
    router := mux.NewRouter()
    
    // 设置安全头部
    router.Headers("Content-Security-Policy", "default-src 'self'")
    router.Headers("X-XSS-Protection", "1; mode=block")
    router.Headers("X-Frame-Options", "DENY")
    
    // 注册 HTML 转义中间件
    router.Use(htmlEscape)
    
    // 定义路由
    router.HandleFunc("/", homeHandler)
    
    http.ListenAndServe(":8080", router)
}

func homeHandler(w http.ResponseWriter, r *http.Request) {
    // ... 业务逻辑 ...
}