点击劫持漏洞（ Clickjacking: X-Frame-Options header missing）处理方法

X-Frame-Options HTTP 响应头，可以指示浏览器是否应该加载一个 iframe 中的页面。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持。

点击劫持漏洞的主要处理方法就是使用HTTP 响应头信息中的 X-Frame-Options属性。

使用 X-Frame-Options 有三个可选的值：

换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套

绝大部分浏览器支持：

Feature	Chrome	Firefox (Gecko)	Internet Explorer	Opera	Safari
Basic support	4.1.249.1042	3.6.9 (1.9.2.9)	8.0	10.5	4.0

配置 Apache

配置 Apache 在所有页面上发送 X-Frame-Options 响应头，需要把下面这行添加到 'site' 的配置中:

Header always append X-Frame-Options SAMEORIGIN

配置 nginx

配置 nginx 发送 X-Frame-Options 响应头，把下面这行添加到 'http', 'server' 或者 'location' 的配置中:

add_header X-Frame-Options SAMEORIGIN;

配置 IIS

配置 IIS 发送 X-Frame-Options 响应头，添加下面的配置到 Web.config 文件中:

<system.webServer>

...

</customHeaders>

</httpProtocol>

...

</system.webServer>

版权声明：本文著作权归原作者所有，欢迎分享本文，谢谢支持！
转载请注明：点击劫持漏洞（ Clickjacking: X-Frame-Options header missing）处理方法 | 雨晨博客