之前被 XSS 了，了解了之后就简单了改了一下管理员的密码，也没去管它。

我的 webserver 是 caddyV1 的，可以直接修改 Header，在 caddy 中加上以下部分即可。

除了 XSS，还加上了劫持保护，隐藏掉了部分 Header。

header / {
    # 启用HTTP严格传输安全性(HSTS)来强制客户端始终通过HTTPS链接（如果只是测试请勿使用）
    Strict-Transport-Security "max-age=31536000;"
    # 启用跨站点过滤器(XSS)并告诉浏览器阻止检测到的攻击
    X-XSS-Protection "1; mode=block"
    # 防止某些浏览器通过声明的"Content-type"对响应使用"MIME-sniffing"
    X-Content-Type-Options "nosniff"
    # 不允许网站在框架内渲染(点击劫持保护)
    X-Frame-Options "DENY"
    # 隐藏掉 PHP 版本
    -x-powered-by
    # 去掉 server 信息
    -server
}

来源：https://dengxiaolong.com/caddy/zh/http.header.html
感谢评论：https://blog.cdbb.me/index.php/archives/11/#comment-9