Um Cross-Site-Scripting (XSS) zu verhindern, ist der HTTP-HeaderX-Content-Type-Options: nosniff
für alle Antworten erforderlich. Fügen Sie außerdem Content-Type: application/json; charset=utf-8
in den Antwortheader ein.
Um Cross-Site-Request-Forgery (XSS) zu verhindern, ist der HTTP-HeaderX-XSRF-Protected: 1
für alle Anforderungen erforderlich.