点击劫持漏洞:使用X-Frame-Options 防止网页被Frame

最新推荐文章于 2025-06-24 00:20:18 发布

转载最新推荐文章于 2025-06-24 00:20:18 发布 · 1.5w 阅读

PHP 同时被 3 个专栏收录

169 篇文章

订阅专栏

其他

111 篇文章

订阅专栏

服务器安装

21 篇文章

订阅专栏

本文介绍了如何使用X-Frame-Options来防止网页被恶意嵌套到其他站点的Frame中，提供了三种设置方法：meta标签、js判断及header控制，并详细解释了DENY、SAMEORIGIN与ALLOW-FROM三种值的区别与应用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

使用X-Frame-Options防止网页被Frame

防止被 FRAME 加载你的网站页面

1. meta 标签：很多时候没有效果，无视

<meta http-equiv="Windows-Target" contect="_top">

2. js 判断顶层窗口跳转，可轻易破解，意义不大

function locationTop(){
    if (top.location != self.location) {
        top.location = self.location;
        return false;       
    }
    return true;
}
locationTop();

破解：

// 顶层窗口中放入代码
var location = document.location;
// 或者 var location = "";

3. header 控制，绝大部分浏览器支持

网站Sitemap的一些规则

使用 X-Frame-Options 有三个可选的值：

DENY：浏览器拒绝当前页面加载任何Frame页面

SAMEORIGIN：frame页面的地址只能为同源域名下的页面

ALLOW-FROM：允许frame加载的页面地址

PHP代码:

header('X-Frame-Options:Deny');

header('X-Frame-Options:SAMEORIGIN);

Nginx配置:

add_header X-Frame-Options SAMEORIGIN

Apache配置:

Header always append X-Frame-Options SAMEORIGIN

具体参见：https://developer.mozilla.org/en-US/docs/HTTP/X-Frame-Options?redirectlocale=en-US&redirectslug=The_X-FRAME-OPTIONS_response_header