HTTP X-Frame-Options 防止iframe内框架
2018-05-28 本文已影响2人
歪歪1993
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta http-equiv="X-Frame-Options" content="SAMEORIGIN / DENY ">
<title> X-Frame-Options </title>
</head>
使用X-Frame-Options 有两种可能的值：
- DENY ：该页无法显示在一个框架中.
- SAMEORIGHT ：页面只能显示在页面本网站的框架中.
有时候为了防止网页被别人的网站iframe，我们可以通过在服务端设置HTTP头部中的X-Frame-Options信息。
- X-Frame-Options 响应头有三个可选的值：
- DENY：页面不能被嵌入到任何iframe或frame中；
- SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中；
- ALLOW-FROM：页面允许frame或frame加载。
在服务端设置的方式如下：
Java代码:
response.addHeader("x-frame-options","SAMEORIGIN");
Nginx配置:
add_header X-Frame-Options SAMEORIGIN
Apache配置:
Header always append X-Frame-Options SAMEORIGIN
公众号：瓶庵公园
