浏览器共7篇

按钮本身有权限校验，仍不代表用户一定看清了自己点击的页面。针对基于框架嵌入的点击劫持，可以通过响应头限制哪些页面有权把当前网页装进iframe。

从一个网页打开另一个页面，浏览器可能在Referer请求头中附带来源信息。哪些部分会被发送，受到来源策略和请求场景影响，不能一概认为只传域名或永远不传。

个人资料页面不应被共享缓存错误地展示给别人，但禁止共享缓存和禁止保存响应并不是同一项要求。配置Cache-Control时，需要先区分缓存所在的位置。

网页引用外部脚本或样式时，可以用integrity属性提供预期摘要，让浏览器核对收到的资源。这个机制关注内容是否匹配预期版本，不能替代对该版本代码本身的审查。

脚本地址返回HTTP 200，浏览器却提示MIME类型不匹配时，应检查响应内容和Content-Type。nosniff让浏览器按声明类型处理资源，并对脚本、样式等加载执行相应限制。

把HTTP请求重定向到HTTPS，与让浏览器记住以后只用HTTPS访问，是不同机制。HSTS通过安全连接返回的响应头传达策略，减少后续访问先走明文HTTP的机会。

给Cookie设置Path，可以影响浏览器在哪些请求路径中发送它，但这不是同一网站不同应用之间的安全隔离方案。不要仅凭两个应用放在不同目录，就认为会话边界已经可靠。