参考资料

  1. 如何通过响应头防御XSS？
  2. Nginx进程配置指令详解
  3. 如何配置Nginx用户认证？
  4. Nginxindex:首页处理模块详细说明以及案例
  5. Nginx基础安全设置及示例
  6. nginx 配置域名
  7. nginx 配置https
  8. Nginx用户cookie模块详细说明以及案例

是否需要开启HTTP/2支持以提高安全性？

  1. HTTP/2的安全特性：

  • 强制使用TLS加密（HTTPS）

  • 支持前向保密

  • 禁用已知不安全的加密套件

  1. 性能优势带来的间接安全提升：

  • 头部压缩减少中间人攻击面

  • 多路复用减少连接建立次数

  • 服务器推送减少客户端请求

  1. 实际部署建议：

  • 必须配合HTTPS使用

  • 需要现代服务器软件支持（如Nginx 1.9.5+）

  • 客户端兼容性良好（主流浏览器均支持）

示例配置（Nginx）：
listen 443 ssl http2;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;

结论：建议开启HTTP/2，但需确保正确配置TLS。