如果你在掃描網站的安全性時發現 "X-XSS-Protection" ,"Content-Security-Policy","X-Content-Type-Options"頭缺失或不安全，那么這可能是一個安全風險,攻擊者可能會利用 XSS 漏洞來注入惡意代碼，如果用戶訪問了被攻擊的頁面，惡意代碼可能會在用戶的瀏覽器上執行。"X-XSS-Protection"、"Content-Security-Policy" 和 "X-Content-Type-Options" 都是 HTTP 響應頭，用增強網站的安全性。"X-XSS-Protection" 用于啟用瀏覽器的 XSS 保護機制，"Content-Security-Policy" 用于限制瀏覽器加載哪些資源，"X-Content-Type-Options" 用于指定響應內容的 MIME 類型。

    1."X-XSS-Protection"：這個頭可以告訴瀏覽器啟用或禁用 XSS 保護機制。當設置為 "1; mode=block" 時，瀏覽器會阻止惡意腳本的執行并通知用戶。這有助于防止跨站腳本攻擊（XSS）。

    2."Content-Security-Policy"（CSP）：CSP 是一個安全措施，用于限制瀏覽器加載哪些資源。通過定義白名單，CSP 可以防止惡意內容的加載和腳本的執行。它有助于防止跨站腳本攻擊（XSS）和其他類型的攻擊。

    3."X-Content-Type-Options"：這個頭用于指定響應內容的 MIME 類型。設置為 "nosniff" 可以防止瀏覽器在響應的 MIME 類型與實際內容不匹配時進行嗅探。這有助于防止潛在的攻擊，例如跨站請求偽造（CSRF）。

如何正確配置這些header呢，在Nginx服務器中，提供了一個添加響應頭的方法add_header，在配置文件中使用add_header方法來增加對應的頭，使用格式為 add_header [fieldname] [fieldvalue]; 對于一般的安全風險提示，建議按照下面的配置就可以了。