关于HTTP头部信息X-Frame-Options的问题-防止网站被人嵌套

Posted 2022-12-13 SnowRomance

有时候为了防止网页被别人的网站iFrame,我们可以通过在服务器设置HTTP头部中的X-Frame-Options信息
使用 X-Frame-Options 有三个可选的值：

DENY：浏览器拒绝当前页面加载任何Frame页面

SAMEORIGIN：frame页面的地址只能为同源域名下的页面

ALLOW-FROM：origin为允许frame加载的页面地址

说到这里肯定会问我设置方法，请往下看：

Apache配置
在你配置站点的地方添加一行：
Header always append X-Frame-Options SAMEORIGIN

nginx配置：

add_header X-Frame-Options SAMEORIGIN;

IIS配置：

<system.webServer>
 ...

 <httpProtocol><customHeaders><add name="X-Frame-Options" value="SAMEORIGIN" /></customHeaders></httpProtocol>

 ...
</system.webServer>

HAProxy配置

      rspadd X-Frame-Options:\\ SAMEORIGIN

php和JSP等动态文件更方便
改一下头信息

     PHP代码： header(‘X-Frame-Options:SAMEORIGIN’);

   JSP代码： response.setHeader(“X-Frame-Options”,”SAMEORIGIN”);