句法

X-XSS-Protection: 0
X-XSS-Protection: 1
X-XSS-Protection: 1; mode=block
X-XSS-Protection: 1; report=

• 0: 禁止XSS过滤.
• 1 启用 XSS 过滤（通常在浏览器中默认）：如果检测到跨站点脚本攻击，浏览器将清理页面（删除不安全的部分）。
• mode = block 启动 XSS 过滤。如果检测到攻击，浏览器将阻止页面的呈现，而不是过滤页面中的XSS内容。
• report = （仅限 Chromium）启用 XSS 筛选。如果检测到跨站点脚本攻击，浏览器将清理页面并报告违规行为。这使用 CSP report-uri指令的功能发送报告。

举例

当检测到反射的XSS攻击时阻止加载页面：
X-XSS-Protection: 1; mode=block
PHP

header("X-XSS-Protection: 1; mode=block");

Apache (.htaccess)

<IfModule mod_headers.c>    
Header set X-XSS-Protection "1; mode=block"  
</IfModule>