HTTP X-Frame-Options 防止iframe内框架调用

96
歪歪1993
2018.05.28 14:12* 字数 169
<head> 
<meta http-equiv="Content-Type" content="text/html; charset=utf-8"> 
<meta http-equiv="X-Frame-Options" content="SAMEORIGIN / DENY "> 
<title> X-Frame-Options </title> 
</head>
使用X-Frame-Options 有两种可能的值:
  • DENY :该页无法显示在一个框架中.
  • SAMEORIGHT :页面只能显示在页面本网站的框架中.
有时候为了防止网页被别人的网站iframe,我们可以通过在服务端设置HTTP头部中的X-Frame-Options信息。
  • X-Frame-Options 响应头有三个可选的值:
  • DENY:页面不能被嵌入到任何iframe或frame中;
  • SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中;
  • ALLOW-FROM:页面允许frame或frame加载。
在服务端设置的方式如下:
Java代码:
response.addHeader("x-frame-options","SAMEORIGIN");
Nginx配置:
add_header X-Frame-Options SAMEORIGIN
Apache配置:
Header always append X-Frame-Options SAMEORIGIN

公众号:瓶庵公园

WEB前端
Web note ad 1