X-XSS-Protection 是一个 HTTP 头部（header），用于防止跨站脚本攻击（Cross-Site Scripting, XSS）。

当浏览器检测到网页中存在可能的 XSS 攻击时，X-XSS-Protection 可以让浏览器自动阻止或过滤掉恶意代码，从而保护用户的信息安全。

常见可选值有：

- 0：禁用 XSS 过滤。
- 1：启用 XSS 过滤，如果检测到攻击则停止渲染页面（即使页面内容被截断）。
- 1; mode=block：启用 XSS 过滤，如果检测到攻击则停止渲染页面，并返回一个错误页面。
- 1; report=<reporting-uri>：启用 XSS 过滤，如果检测到攻击则停止渲染页面，并向指定的 reporting-uri 发送一份报告。

例如，以下是一个 X-XSS-Protection 头部设置为启用模式并且防护级别最高的示例：


X-XSS-Protection: 1; mode=block


这将启用浏览器的 XSS 过滤功能，并在检测到攻击时立即停止页面的渲染。同时，它还会通过发送错误页面来提高安全性。