本文于2016年3月完成，发布在个人博客网站上。考虑个人博客因某种原因无法修复，于是在博客园安家，之前发布的文章逐步搬迁过来。近日项目组对当前开发、维护的Web系统做了AppScan扫描，扫描的结果惨不忍睹，问题很多。报告中报到“缺乏HTTP安全头部”。之前对HTTP协议的安全头部了解不多，为了消除AppScan报告中的警告，同时做更多的了解，搜集了一些相关的资料，于是有了本篇汇总笔记。HTTP协议的安全头部安全是一个非常大的话题，比如下面提到的HTTP安全头部，每个都可以使用单独的文章来说明和介绍。但Jackie当前还处于Web开发的入门阶段，还谈不上什么心得体会，先把找到的文章罗列出来吧。

我不知道这可能是一个错误。我的服务器上有2个虚拟主机。virtualhost1.comvirtualhost2.com如果我使用端口80(virtualhost1.com:80)打开virtualhost1.com$_SERVER['HTTP_HOST']='virtualhost1.com';但是如果我打开virtualhost2.com:80$_SERVER['HTTP_HOST']='virtualhost2.com:80';//NOTE:withportnumber我能知道为什么吗？ 最佳答案 $_SERVER['HTTP_

我正在编写一个基于PHP的SOAP客户端应用程序，该应用程序使用PHP5原生的SOAP库。我需要发送一个HTTPcookie和一个额外的HTTPheader作为请求的一部分。cookie部分没问题:代码:$client=newSoapClient($webServiceURI,array("exceptions"=>0,"trace"=>1,"encoding"=>$phpInternalEncoding));$client->__setCookie($kkey,$vvalue);我的问题是HTTPheader。我希望会有一个名为的函数__setHeader或__setHttpHead

我们的环境需要使用出站代理来提供异地服务。通常这不是问题。在这种使用Twilio的情况下，返回的额外header会破坏客户端。传出header:POST/2010-04-01/Accounts/FOO/SMS/Messages.jsonHTTP/1.1Authorization:BasicFOO==User-Agent:twilio-php/3.10.0Host:api.twilio.comAccept:*/*Accept-Charset:utf-8Content-Type:application/x-www-form-urlencodedContent-Length:108响应头:H

我正在尝试获取我的用户的推荐人。比如他们来自facebook、youtube、google或其他任何地方。现在我试过类似的东西:$referrer=$this->request->headers->get('referer');$url=$referrer?$this->to($referrer):$this->getPreviousUrlFromSession();return$url?:$this->to('/');//returns:Methodrefererdoesnotexist.这个:return$_SERVER["HTTP_REFERER"]//returnsUndefi

我有一个Symfony2网站，它要么在开发中运行在HTTP上，要么在生产中运行在HTTPS上。我注意到在生产环境中，Symfony生成的URL仍然全部呈现为HTTP。我怎么可能;让框架采用为网站提供服务的当前协议(protocol)(可能是首选)？或者，强制整个网站仅在生产环境中采用HTTPS模式？ 最佳答案 @A.L和@AndreySobkanyuk给出的两种解决方案均有效，但不适用于我遇到的问题。@A.L和@AndreySobkanyuk给出的两种解决方案的问题在于Symfony2正在尝试进行重定向。IE。如果通过在路由配置中指

长话短说:我正在为ZendFramework构建一个框架应用程序，我到达了需要设置api模块的部分。我正在使用Zend_Rest_Controller来完成这项工作。这部分一切正常，我需要在Controller中获取HTTPheader以验证apikey。在我在网上阅读的各种教程中，事情是通过前端Controller插件完成的，但我需要它比那更“即插即用”(每次检查应用程序的配置，决定哪个模块是api等等)。我尝试了看起来最明显的方法$this->getRequest()->getHeaders()但似乎不起作用，至少对于我将要设置的HTTPheader无效APIkey。reponse

这是我的服务器配置:CentOS6.5版(最终版)PHP5.5.7pecl_http2.0.4稳定服务器版本:Apache/2.2.15(Unix)除了当我尝试加载pecl_http模块时，我已经启动并运行了所有内容，它给了我以下警告并且它不会加载:PHPWarning:PHPStartup:Unabletoloaddynamiclibrary'/path/to/php/modules/http.so'-/path/to/php/modules/http.so:undefinedsymbol:php_persistent_handle_abandoninUnknownonline0我试

我在登录期间收到类似ClassApp\Http\Controllers\admin\AuthnotfoundinLaravel5的错误。Routes.phpRoute::group(array('prefix'=>'admin'),function(){Route::get('login','admin\AdminHomeController@showLogin');Route::post('check','admin\AdminHomeController@checkLogin');});AdminHomeController.php$request->get('username')

我将PHP与亚马逊支付网络服务结合使用。我的一些请求有问题。Amazon应该返回一个错误，但是它的处理方式给我带来了问题。Amazon返回带有错误消息的XML数据，但它也会抛出HTTP400(有时甚至是404)。这使得file_get_contents()立即抛出错误，我无法获取内容。我也尝试过使用cURL，但从未得到它给我的回复。我真的需要一种方法来获取返回的XML而不管HTTP状态代码。它有一个重要的“消息”元素，可以为我提供有关为什么我的计费请求失败的线索。有没有人有一个cURL示例或其他允许我这样做的示例？我所有的请求目前都使用file_get_contents()但我不反对更