Spring Security Misconfiguration: Disabled Security Headers

Spring Security 기본 보안 헤더는 비활성화되어 있습니다.

Spring Security는 응용 프로그램을 보호할 수 있도록 기본 보안 헤더를 설정합니다. Spring Security에서 삽입한 기본 보안 헤더는 다음과 같습니다.

Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Pragma: no-cache
Expires: 0
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000 ; includeSubDomains
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block

이러한 헤더는 응용 프로그램을 보호하는 데 적합한 헤더입니다. 더 제한적인 값으로 바뀌지 않는 한 이러한 헤더를 비활성화하지 마십시오.

예제 1: 다음 코드는 Spring Security 기본 헤더를 비활성화합니다.

	<http auto-config="true">
        ...
        <headers disabled="true"/>
        ...
	</http>