X-XSS-Protectionは使わない方がいい

>非標準: `この機能は標準ではなく、標準化の予定もありません`。`公開されているウェブサイトには使用しないでください`。ユーザーによっては使用できないことがあります。`実装ごとに大きな差があることもあり、将来は振る舞いが変わるかもしれません`。
* あまり使用はできなさそう

>HTTP の X-XSS-Protection レスポンスヘッダーは `Internet Explorer, Chrome, Safari` の機能で、反射型クロスサイトスクリプティング (XSS) 攻撃を検出したときに、`ページの読み込みを停止する`ためのものです。サイトが強力な `Content-Security-Policy を実装`しており、`インライン JavaScript ('unsafe-inline') の使用を無効にしている場合、これらの保護は現代のブラウザーではほとんど不要`となります。
* X-XSS-Protection レスポンスヘッダーは Internet Explorer, Chrome, Safari の機能
* 反射型クロスサイトスクリプティング (XSS) 攻撃を検出したときに、ページの読み込みを停止する
* サイトが強力な Content-Security-Policy を実装且つインライン JavaScript ('unsafe-inline') の使用を無効にしている場合、これらの保護は現代のブラウザーではほとんど不要

>警告: この機能は、まだ CSP に対応していない古いブラウザーのユーザーを保護できるにもかかわらず、場合によっては、他の安全なウェブサイトでXSS 保護機能が XSS の脆弱性を作り出す可能性があります。詳細については、下記の節を参照してください。
* 保護機能が逆に脆弱性を作り出す
* Content-Security-Policyとは？

>* Chrome は XSS Auditor を削除しました。
>* Firefox は対応しておらず、 X-XSS-Protection を今後も実装しません
>* Edge は XSS filter を廃止しました。つまり、古いブラウザーに対応する必要がない場合は、代わりに Content-Security-Policy を使用し unsafe-inline を許可しないことをお勧めします。


>0
`XSS フィルタリングを無効化`します。

https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/X-XSS-Protection#0:~:text=%E9%9D%9E%E6%A8%99%E6%BA%96%3A,%E5%88%A9%E7%94%A8%E3%81%97%E3%81%BE%E3%81%99%E3%80%82

>ノート:X-XSS-Protectionヘッダーは、`最新のブラウザでは非推奨`となっており、その使用によって`クライアント側で追加のセキュリティの問題が発生する可能性`があります。そのため、ヘッダーを`X-XSS-Protection: 0`に設定して`XSS Auditorを無効`にし、レスポンスを処理するブラウザのデフォルト動作を許可しないようにすることをお薦めします。かわりにContent-Security-Policyを使用します。「コンテンツ・セキュリティ・ポリシー」を参照してください。

https://docs.oracle.com/cd/F23552_01/web-tier/12.2.1.4/secure-ohs/configuring-http-secure-headers.html#GUID-97C62A25-BE61-4679-931D-8A026E7E1E4B:~:text=%E3%83%8E%E3%83%BC%E3%83%88%3AX%2DXSS%2DProtection%E3%83%98%E3%83%83%E3%83%80%E3%83%BC%E3%81%AF%E3%80%81%E6%9C%80%E6%96%B0%E3%81%AE%E3%83%96%E3%83%A9%E3%82%A6%E3%82%B6%E3%81%A7%E3%81%AF%E9%9D%9E%E6%8E%A8%E5%A5%A8%E3%81%A8%E3%81%AA%E3%81%A3%E3%81%A6%E3%81%8A%E3%82%8A%E3%80%81%E3%81%9D%E3%81%AE%E4%BD%BF%E7%94%A8%E3%81%AB%E3%82%88%E3%81%A3%E3%81%A6%E3%82%AF%E3%83%A9%E3%82%A4%E3%82%A2%E3%83%B3%E3%83%88%E5%81%B4%E3%81%A7%E8%BF%BD%E5%8A%A0%E3%81%AE%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%AE%E5%95%8F%E9%A1%8C%E3%81%8C%E7%99%BA%E7%94%9F%E3%81%99%E3%82%8B%E5%8F%AF%E8%83%BD%E6%80%A7%E3%81%8C%E3%81%82%E3%82%8A%E3%81%BE%E3%81%99%E3%80%82%E3%81%9D%E3%81%AE%E3%81%9F%E3%82%81%E3%80%81%E3%83%98%E3%83%83%E3%83%80%E3%83%BC%E3%82%92X%2DXSS%2DProtection%3A%200%E3%81%AB%E8%A8%AD%E5%AE%9A%E3%81%97%E3%81%A6XSS%20Auditor%E3%82%92%E7%84%A1%E5%8A%B9%E3%81%AB%E3%81%97%E3%80%81%E3%83%AC%E3%82%B9%E3%83%9D%E3%83%B3%E3%82%B9%E3%82%92%E5%87%A6%E7%90%86%E3%81%99%E3%82%8B%E3%83%96%E3%83%A9%E3%82%A6%E3%82%B6%E3%81%AE%E3%83%87%E3%83%95%E3%82%A9%E3%83%AB%E3%83%88%E5%8B%95%E4%BD%9C%E3%82%92%E8%A8%B1%E5%8F%AF%E3%81%97%E3%81%AA%E3%81%84%E3%82%88%E3%81%86%E3%81%AB%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%82%92%E3%81%8A%E8%96%A6%E3%82%81%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%E3%81%8B%E3%82%8F%E3%82%8A%E3%81%ABContent%2DSecurity%2DPolicy%E3%82%92%E4%BD%BF%E7%94%A8%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%E3%80%8C%E3%82%B3%E3%83%B3%E3%83%86%E3%83%B3%E3%83%84%E3%83%BB%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%83%BB%E3%83%9D%E3%83%AA%E3%82%B7%E3%83%BC%E3%80%8D%E3%82%92%E5%8F%82%E7%85%A7%E3%81%97%E3%81%A6%E3%81%8F%E3%81%A0%E3%81%95%E3%81%84%E3%80%82

# 感想
セキュリティがさらなる脆弱性を呼ぶので使うのは避けよう。