Spring Security Misconfiguration: Disabled Security Headers

Spring Security のデフォルトのセキュリティ ヘッダーは無効化されます。

Spring Security ではデフォルトのセキュリティ ヘッダーでアプリケーションの保護を支援するよう設定されます。Spring Security によって挿入されるデフォルトのセキュリティ ヘッダーは次のとおりです。

Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Pragma: no-cache
Expires: 0
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000 ; includeSubDomains
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block

これらはアプリケーションの保護を支援するのに適したヘッダーです。これらのヘッダーは、より限定的な値に置き換えられるのでない限り無効化しないでください。

例 1: 次のコードでは、Spring Security のデフォルト ヘッダーを無効化します。

	<http auto-config="true">
        ...
        <headers disabled="true"/>
        ...
	</http>