yun 发表于 2018-3-1 11:29:55

使用X-Frame-Options响应头防止iframe内框架调用

防止别人iframe自己的网站,有两种形式:
第一种:在网站程序里面添加
第二种:在网站环境里面添加

使用 X-Frame-Options
X-Frame-Options 有三个值:
DENY
表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许。

SAMEORIGIN
表示该页面可以在相同域名页面的 frame 中展示。

ALLOW-FROM uri
表示该页面可以在指定来源的 frame 中展示。

换一句话说,如果设置为 DENY,不光在别人的网站 frame 嵌入时会无法加载,在同域名页面中同样会无法加载。另一方面,如果设置为 SAMEORIGIN,那么页面就可以在同域名页面的 frame 中嵌套。

1、在网站程序里面添加,这里主要给这三种语言添加:html、php、jsp
1.1、在html程序里面添加
在head头标签里面添加如下代码:(下面的content值自己选择,这里我选择SAMEORIGIN)<meta http-equiv="X-Frame-Options" content="SAMEORIGIN">本地测试:
经测试,代码没有生效,没有达到预期的效果。不知道啥问题,有知道是什么原因的,回帖留言,万分感谢

1.2、在php程序里面添加
在程序的开头部位加入以下代码:header(‘X-Frame-Options:SAMEORIGIN’);
本地测试:
经测试,可以达到预期的效果,但是被iframe调用的网站,也不能打不开了。所以此方法也不可行

1.3、在jsp程序里面添加
添加的代码如下:response.setHeader(“X-Frame-Options”,”SAMEORIGIN”);本地测试:
这里自己还没有测试,有需求的,自己可以测试

2、在网站的配置环境里面添加,主要在iis、apache、nginx里面添加
2.1、配置 IIS 发送 X-Frame-Options 响应头,添加下面的配置到 Web.config 文件中:(这里我选择属性值为SAMEORIGIN,其它的自己选择)<system.webServer>
  ...

  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="SAMEORIGIN" />
    </customHeaders>
  </httpProtocol>

  ...
</system.webServer>本地测试:
经测试,可以完美杜绝网站被iframe

2.2、配置 Apache 在所有页面上发送 X-Frame-Options 响应头,需要把下面这行添加到 'site' 的配置中:Header always append X-Frame-Options SAMEORIGIN本地测试:
经测试,可以完美杜绝网站被iframe

2.3、配置 nginx 发送 X-Frame-Options 响应头,把下面这行添加到 'http', 'server' 或者 'location' 的配置中:add_header X-Frame-Options SAMEORIGIN;本地测试:
经测试,可以完美杜绝网站被iframe

总结:不建议在网站程序内部添加,以免出现不必要的麻烦;如想添加,在网站的配置环境里面添加
页: [1]
查看完整版本: 使用X-Frame-Options响应头防止iframe内框架调用