《nginx等各種服務(wù)器如何設(shè)置X-Frame-Options頭》要點：
本文介紹了nginx等各種服務(wù)器如何設(shè)置X-Frame-Options頭，希望對您有用。如果有疑問，可以聯(lián)系我們。

相關(guān)主題：nginx配置 / apache配置 / 服務(wù)器配置

360搜索引擎有時會提示你：

X-Frame-Options頭未設(shè)置

那么，什么是X-Frame-Options頭？如何設(shè)置？

X-Frame-Options HTTP響應(yīng)頭是用來確認(rèn)是否瀏覽器可以在frame或iframe標(biāo)簽中渲染一個頁面，網(wǎng)站可以用這個頭來保證他們的內(nèi)容不會被嵌入到其它網(wǎng)站中，以來避免點擊劫持。

危害： 攻擊者可以使用一個透明的、不可見的iframe，覆蓋在目標(biāo)網(wǎng)頁上，然后誘使用戶在該網(wǎng)頁上進行操作，此時用戶將在不知情的情況下點擊透明的iframe頁面。通過調(diào)整iframe頁面的位置，可以誘使用戶恰好點擊iframe頁面的一些功能性按鈕上，導(dǎo)致被劫持。

一般是用JS來防止的，比如常見的比如使用js，判斷頂層窗口跳轉(zhuǎn)：

if (window != window.top) {
    window.top.location.replace(window.location); //或者干別的事情
}

一般這樣夠用了，但是這段代碼輕輕松松被破解了：

var location = document.location;
// 或者 var location = "";

也有人用META標(biāo)簽，基本沒什么效果，所以也放棄了：

<meta http-equiv="Windows-Target" contect="_top">

解決方案：

修改web服務(wù)器配置，添加X-frame-options響應(yīng)頭。賦值有如下三種：

（1）DENY：不能被嵌入到任何iframe或frame中。
（2）SAMEORIGIN：頁面只能被本站頁面嵌入到iframe或者frame中。
（3）ALLOW-FROM uri：只能被嵌入到指定域名的框架中。

也可在代碼中加入，在PHP中加入：

header('X-Frame-Options: deny');

防止某些重要網(wǎng)頁被其他網(wǎng)站框架導(dǎo)入，可以給頁面增加X-Frame-Options響應(yīng)頭，這樣瀏覽器會依據(jù)X-Frame-Options的值來控制iframe框架的頁面是否允許加載顯示出來，IE下的效果如下（此內(nèi)容無法再框架中顯示。為了幫助保護在此網(wǎng)站中輸入的信息安全，此內(nèi)容的發(fā)行者不允許在框架中顯示該信息），其他非IE核心瀏覽器會顯示空白內(nèi)容。

動態(tài)頁添加X-Frame-Options響應(yīng)頭示例代碼

其它語言也可以添加，如：

ASP.NET和ASP：

Response.AddHeader("X-Frame-Options", "Deny");

JSP代碼：

response.setHeader(“X-Frame-Options”,”SAMEORIGIN”);

如果你的網(wǎng)站是在虛擬主機上，沒有權(quán)限配置服務(wù)器，那就用上面的代碼方式處理。如果有服務(wù)器控制權(quán)限，則可以直接用下面方法，在服務(wù)器上配置。

瀏覽器對X-Frame-Options響應(yīng)頭的支持如下

當(dāng)然，最好是直接在服務(wù)器上設(shè)置，如果確認(rèn)你整個網(wǎng)站都不能被框架，可以直接設(shè)置web服務(wù)器，增加X-Frame-Options響應(yīng)頭。

下面介紹幾種IIS,APACHE,NGINX服務(wù)器如何設(shè)置。

轉(zhuǎn)載請注明本頁網(wǎng)址：
http://www.fzlkiss.com/jiaocheng/171.html