使用Boto3更新CloudFront响应头策略：可选安全头必填问题求解

问题原因 #

AWS控制台操作时，未配置的安全头会被默认标记为禁用，但Boto3调用update_response_headers_policy接口时，要求传入完整的ResponseHeadersPolicyConfig结构，不能仅传递修改的CORS配置部分，必须包含所有安全头的配置项，否则会抛出必填参数缺失的错误。

无法直接规避 #

没有办法跳过这些参数的传递，API本身要求完整的配置结构。不过可以通过设置特定参数值，模拟控制台“禁用所有安全头”的效果。

正确配置方式 #

将所有安全头模块的Override设为False，同时补充每个模块要求的必填参数（即使Override为False，API仍要求这些参数存在，但不会实际生效）。具体配置代码如下：

# 补充安全头配置，与控制台禁用所有安全头的效果一致
policy_config["SecurityHeadersConfig"] = {
    "XSSProtection": {
        "Override": False,
        "Protection": False,
        "ModeBlock": False,
        "ReportUri": ""
    },
    "FrameOptions": {
        "Override": False,
        "FrameOption": "DENY"
    },
    "ReferrerPolicy": {
        "Override": False,
        "ReferrerPolicy": "strict-origin-when-cross-origin"
    },
    "ContentSecurityPolicy": {
        "Override": False,
        "ContentSecurityPolicy": "",
        "ReportOnly": False
    },
    "ContentTypeOptions": {
        "Override": False
    },
    "StrictTransportSecurity": {
        "Override": False,
        "AccessControlMaxAgeSec": 0,
        "IncludeSubdomains": False,
        "Preload": False
    },
    "ContentSecurityPolicyReportOnly": {
        "Override": False,
        "ContentSecurityPolicy": ""
    },
    "PermissionsPolicy": {
        "Override": False,
        "PermissionsPolicy": ""
    }
}

# 执行更新操作
cf_client.update_response_headers_policy(
    ResponseHeadersPolicyConfig=policy_config,
    Id=policy_id,
    IfMatch=etag
)

关键说明 #

• 当Override设为False时，CloudFront会忽略该安全头的所有配置，完全等同于控制台不启用该安全头的状态。
• 其他参数只需填写符合API格式要求的合法值即可，不会对实际响应头产生影响（比如AccessControlMaxAgeSec填0、ContentSecurityPolicy填空字符串等）。

内容的提问来源于stack exchange，提问作者Jeroen van de Nieuwenhof