如何为CloudFront自定义错误页添加安全响应头

• 方法1：关联CloudFront响应头策略
  你可以直接在CloudFront分发的行为配置中，关联预设的安全响应头策略，或者自定义策略添加X-XSS-Protection等你需要的安全头。该配置对所有匹配对应行为的响应生效，包括CloudFront触发返回的自定义错误页，不需要修改源站或错误页本身的配置。
• 方法2：在自定义错误页的源站配置响应头
  如果你的自定义错误页存储在S3或其他自建源站，可以直接给错误页静态资源配置对应的响应头，CloudFront回源拉取错误页时会默认携带源站返回的响应头返回给客户端。需要注意：如果同时配置了CloudFront响应头策略，策略中的同名头配置优先级更高，会覆盖源站返回的头。
• 方法3：通过CloudFront Functions实现细粒度控制
  如果需要只给特定状态码的错误页添加安全头，可以编写简单的CloudFront Functions，在viewer response阶段判断响应状态码是否为自定义错误的状态码，符合条件就追加对应的安全响应头，这种方式开销极低，适合需要灵活配置的场景。

配置完成后需要等待CloudFront分发部署完成，建议部署结束后清除本地缓存测试错误页的响应头，确认配置生效。如果头未生效，可优先检查行为的路径匹配规则、响应头策略的作用范围是否覆盖错误页对应的请求路径。

内容的提问来源于stack exchange，提问作者d.y