为什么要配置HTTP响应头?
不知道各位有没有被各类XSS攻击、点击劫持 (ClickJacking、 frame 恶意引用等等方式骚扰过，百度联盟被封就有这些攻击的功劳在里面。为此一直都在搜寻相关防御办法，至今效果都不是很好，最近发现其实各个浏览器本身提供了一些安全相关的响应头，使用这些响应头一般只需要修改服务器配置即可，不需要修改程序代码，成本很低。至于具体的效果只能是拭目以待了，但是感觉还是有一定的效果的。
而这些HTTP响应头在我们部署 Nginx 的时候经常会被忽略掉，个人感觉这是一个比较严重的“疏忽”，加上还是很有必要的，如果有条件最好是部署一个适合自己站点的
X-Content-Security-Policy响应头。
点击劫持
# 点击劫持（ClickJacking）是一种视觉上的欺骗手段。大概有两种方式，
# 一是攻击者使用一个透明的iframe，覆盖在一个网页上，然后诱使用户在该页面上进行操作，此时用户将在不知情的情况下点击透明的iframe页面；
# 二是攻击者使用一张图片覆盖在网页，遮挡网页原有位置的含义;
X-Frame-Options响应头
X-Frame-Options HTTP响应头是微软提出来的一个HTTP响应头，主要用来给浏览器指示允许一个页面可否在,