再次加載頁面，便會彈出一個警告框
在FireFox中進行同樣的測試，成功執行。
現在將X-XSS-Protection頭的值修改為1，再次嘗試。
header("X-XSS-Protection: 1");
你能夠輕松體會到已經成功開啟了X-XSS-Protection。
HTTP/1.1 200 OK
Date: Sun, 12 Apr 2015 14:54:42 GMT
Server: Apache/2.2.29 (Unix) mod_fastcgi/2.4.6 mod_wsgi/3.4 Python/2.7.8 PHP/5.6.2 mod_ssl/2.2.29 OpenSSL/0.9.8y DAV/2 mod_perl/2.0.8 Perl/v5.20.0
X-Powered-By: PHP/5.6.2
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Set-Cookie: PHPSESSID=8dfb86b13ec9750d1f1afdfc004f5042; path=/
X-XSS-Protection: 1
Content-Length: 820
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=UTF-8
再次在漏洞頁面執行JavaScript，腳本不會執行。進入Chrome的控制台,看看發生了什麼事
從上面的控制台信息中，我們可以得知腳本沒有得到執行。
header("X-XSS-Protection: 1");
上面這個頭沒有添加其他的參數，僅僅只是阻止腳本的執行。
我們可以添加一些其他參數，比如：
header("X-XSS-Protection: 1; mode=block");
這時再次測試，浏覽器會阻止腳本執行，並且返回一個空白頁。
下面為HTTP頭信息
HTTP/1.1 200 OK
Date: Mon, 13 Apr 2015 09:59:22 GMT
Server: Apache/2.2.29 (Unix) mod_fastcgi/2.4.6 mod_wsgi/3.4 Python/2.7.8 PHP/5.6.2 mod_ssl/2.2.29 OpenSSL/0.9.8y DAV/2 mod_perl/2.0.8 Perl/v5.20.0
X-Powered-By: PHP/5.6.2
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Set-Cookie: PHPSESSID=729f2f716310ccfe353c81ced1602cf0; path=/
X-XSS-Protection: 1; mode=block
Content-Length: 846
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=UTF-8
盡管在一些主流浏覽器(IE,Chrome,Safari)中可以完美實現。但在FireFox中並不支持這個頭，所以我們仍然可以看到彈出警告框
總結
所以,X-XSS-Protection頭應該用於深度防御。由於它無法完全保護網站，因此開發者必須確保他們有其他一些手段來進行防護。
