X-Frame-Options ALLOW-FROM uri 过时导致 Invalid ‘X-Frame-Options‘ header

墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 2.3k累计阅读 2.3k平均单平台已同步平台优快云微信公众号微博知乎掘金百家号博客园抖音小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网我也要 → 码龄10年

关注

原创最新推荐文章于 2026-08-13 09:55:12 发布 2.3k 阅读 AI 写同款· GEO 优化 ›

响应头未设置X-Frame-Options 通过设置’X-Frame-Options’响应头，可以防止网页被嵌入到其他网站中，从而提高网站的安全性。网站容易受到点击劫持攻击：如果没有设置’X-Frame-Options’，攻击者可以在其他网站中嵌入恶意代码，诱使用户在不知情的情况下点击网页上的按钮或链接，从而执行恶意操作。网站可能无法在iframe中正常显示：如果没有设置’X-Frame-Options’，浏览器可能会阻止网页被嵌入到其他网站中，导致网页无法在iframe中正常显示。阅读详情

参考资料

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options
在这里插入图片描述
解决方案
参考资料
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors

收录于

web

当前文章被收录于：

web

3 篇文章 0 人学习

订阅专栏查看详情

当前文章被以下社区和专栏收录：

X-Frame-Options简介最近安全检查，发现没有保障和避免自己的网页嵌入到别人的站点里面，于是需要设置X-Frame-Options增加安全性。网上查了查资料，这里记录一下。可以使用下面工具进行验证：Clickjacking Tool | Test | UI Redressing 1、X-Frame-Options X-Frame-OptionsHTTP响应头是用来给浏览器指示允许一个页面可否在<frame>、<iframe>、<em... 阅读详情

相关推荐

HTTP请求头安全攻防实战：从XSS/CSRF到CSP/HSTS的深度解析

HTTP协议作为Web通信的基石，其请求头不仅是数据交换的信使，更是安全攻防的关键战场。从原理层面看，请求头定义了客户端与服务器交互的语义，如User-Agent标识客户端环境，Referer/Origin标记请求来源，Content-Type指定数据格式。这些基础字段若被恶意利用，会直接引发跨站脚本（XSS）、跨站请求伪造（CSRF）等核心Web安全漏洞。在工程实践中，通过正确配置安全响应头，如内容安全策略（CSP）和HTTP严格传输安全（HSTS），能构建主动防御体系。CSP通过白名单机制控制资源加载，

328

浏览器跨域问题

浏览器跨域问题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入欢迎使用Markdown编辑器你好！这是你第一次使用 Markdown编辑器所展示的欢迎页。如果你想学习如何使用Markdo

hnht1989的博客 5338

Ansible一键部署Apache：Ubuntu 18.04基础设施即代码实践

配置即代码（IaC）是现代运维的核心范式，其本质是将服务器状态以声明式逻辑固化为可版本控制、可复现、可审计的代码。Ansible凭借幂等性、模块化与无代理特性，成为实现IaC落地的首选工具；而Apache作为最广泛使用的Web服务器，既是入门自动化的重要锚点，也是连接PHP、Java、安全加固与数据管道的关键枢纽。本文聚焦Ubuntu 18.04这一典型LTS环境，深入解析ansible playbook设计原理、apache配置文件的Jinja2动态管理、服务状态一致性保障机制，并覆盖UFW防火墙适配、M

defkaug153461的博客 393

Rails 使用iframe报错：IFRAME: Refused to display document because display forbidden by X-Frame-Options

第一步：在layout目录下的application.html.erb文件中添加：例如：电子病历系统 true %> true %> 第二步:在controllers目录下的application_controller.rb添加： protect_from_forgery with: :exception before_f

yancheng的专栏 9807

高速DAC时钟与配置实战：DAC5681Z硬件设计与寄存器编程详解

在高速数据转换系统中，时钟信号是决定系统性能的核心要素，其稳定性和纯净度直接影响数模转换器（DAC）的输出频谱纯度与动态范围。时钟电路的设计原理涉及信号完整性、阻抗匹配与直流偏置，而内部锁相环（PLL）和延迟锁相环（DLL）的配置则是实现精确时序控制的关键技术。这些技术的价值在于，它们共同保障了高速通信、雷达和任意波形生成等应用对信号实时性与精度的严苛要求。本文聚焦于德州仪器（TI）的DAC5681Z，深入解析其外部时钟输入电路的硬件设计要点，包括端接电阻的计算与选型，并详细拆解通过串行外设接口（SPI）对

weixin_30342363的博客 186

Look4sat蓝牙追星云台

//这是一个追星云台的小程序 //配合Look4sat蓝牙传输数据（W*** A***），并让电机做出动作 //app设置内填好ESP32的蓝牙MAC，数据格式：W$AZ A$EL //希望大家可以共同改进

HoyAnGx的博客 617

iframe跨域安全

1.响应头X-Frame-Options 响应头X-Frame-Options是用来给浏览器指示允许一个页面可否在<frame>，<iframe>，<object>中展现的标记。网站可以使用此功能，来确保自己网站的内容没有被嵌套到其他网站中去，也从而避免了点击劫持 (clickjacking) 的攻击。支持的指令 DENY 表示该页面不允许在frame中展示，即便是在相同域名的页面中嵌套也不允许。 SAMEORIGIN 表示该页面可以在相同域名页面的frame中展示。

路过君的博客 5868

告别电压瓶颈：手把手教你用SVPWM过调制算法提升电机驱动性能（附Simulink仿真）

本文详细介绍了如何利用SVPWM过调制算法提升电机驱动性能，解决电动汽车高速运行时的电压瓶颈问题。通过过调制I区和II区的算法实现细节，包括相角补偿与跳变控制，结合Simulink仿真演示，帮助工程师和研究者平衡电压增益与谐波失真，提升系统效率与动态响应。

weixin_30315723的博客 392

Tomcat 点击劫持:X-Frame-Options Header未配置【已解决】

X-Frame-Options Header未配置背景漏洞描述修复和改进建议具体解决办法TomcatApacheNginx自定义过滤器验证背景最近就新开发项目进行网络安全监测，检测报告中发现含有点击劫持:X-Frame-Options Header未配置 (低危) Web安全漏洞，下面为具体解决方法漏洞描述 X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页...

身后是非的博客 1万+

@transactional滥用导致数据源连接池耗尽问题

qq_43205267的博客 1201

IC设计效率翻倍！Verilog-mode的AUTOWIRE/AUTOINST组合使用技巧

本文详细介绍了在Emacs的verilog-mode插件中，如何组合使用AUTOWIRE与AUTOINST功能，实现Verilog代码的智能自动化连接与维护。通过声明式编程思想，该组合能自动生成模块实例化连接和线网声明，并配合AUTO_TEMPLATE处理复杂映射，从而大幅提升IC顶层设计的效率和可靠性，减少手动连线的错误。

weixin_28826545的博客 319

Nginx跨域配置详解与最佳实践

跨域资源共享(CORS)是现代Web开发中的核心安全机制，它通过HTTP头部控制不同源之间的资源访问。其原理基于浏览器的同源策略，通过服务端返回特定的Access-Control-Allow-*头部来声明允许的跨域请求规则。在工程实践中，Nginx作为高性能反向代理服务器，通过在配置层添加CORS头部，能有效解决前端开发中的跨域问题，同时保障API安全性。典型应用场景包括前后端分离架构、微服务API网关等。本文重点解析Nginx中Access-Control-Allow-Origin等核心指令的配置方法，并

382

LVGL 9Text Area 控件 (lv_textarea) 使用指南

是一个可编辑的文本输入控件，通常用于在用户界面中输入和编辑多行或单行文本。该控件支持文本插入、删除、光标控制、文本选择、密码输入等功能。它的文本内容可以通过键盘、API 或事件进行修改，还可以设置最大文本长度、占位符文本和密码模式等。是一个强大且灵活的文本输入控件，适用于多种用户输入场景，支持文本插入、删除、光标控制、密码输入等功能。通过 LittlevGL 提供的丰富 API，开发者可以自定义文本区域的外观和行为，实现复杂的文本输入需求。

m0_62599305的博客 1674

C/C++轻量级HTTP服务器安全配置实战：10个关键技巧防攻击

在C/C++网络编程中，HTTP服务器配置是保障服务安全的第一道防线。其核心原理在于通过预定义的限制规则，在协议解析层面对外部输入进行严格校验，遵循“最小权限”和“默认拒绝”的安全哲学。这项技术的价值在于能从底层有效抵御缓冲区溢出、路径遍历等常见攻击，避免业务逻辑疏漏导致的安全风险。典型的应用场景包括使用mongoose、libmicrohttpd等轻量级库或自研框架的Web服务。本文聚焦于通过头文件（如httpserver.h）进行配置的安全实践，深入解析如何通过限制请求大小、规范化路径、设置安全响应头等

weixin_34209851的博客 464

Python爬虫实战：采集菜谱网站数据——以“下厨房”为例

随着互联网的发展，海量优质数据为各类应用提供了坚实基础。菜谱作为用户日常生活中需求极高的内容，丰富多样的菜谱数据不仅方便用户烹饪，也为美食推荐、营养分析等研究提供了数据支持。本文将围绕国内知名菜谱网站“下厨房”（https://www.xiachufang.com）展开，结合最新Python爬虫技术，详细讲解如何高效、规范地采集菜谱数据，包括菜谱名称、食材、步骤、评分、评论等丰富信息。全篇覆盖爬虫原理、框架选型、反爬应对、数据存储和简单分析，是学习爬虫实战的绝佳案例。菜谱标题作者信息菜谱图片。

2201_76125261的博客 1899

RISC-V CPU设计(三)---多周期CPU的设计与实现

基本情况本多周期CPU支持RV32I指令集(fence,ecall,ebreak除外),已通过部分指令的测试，如代码有bug，欢迎指出。模块划分代码将CPU划分为以下几个模块： 1.控制单元：ControlUnit 用于产生控制信号，是CPU的大脑，指挥中枢。 2.分支决策单元:BranchUnit 用于决定B型指令是否发生跳转 3.立即数单元:ImmUnit 用于从指令中解析出立即数. 4.寄存器堆:RegisterFile RISC-V的32个寄存器，其中x0寄存器恒为0，不可更改。 5.指令存储

qq_40268672的博客 5542

Ubuntu 20.04 上用 Nginx 反向代理为 Grafana 配置 SSL

反向代理是现代 Web 应用安全架构的核心组件，它通过在客户端与后端服务之间建立可控的流量中转层，实现 TLS 终止、请求过滤、负载分发与安全加固。Nginx 因其稳定协议支持（HTTP/2、WebSocket）、细粒度路径控制（location 块）和原生安全机制（限流、IP 封禁、Header 注入），成为 Grafana 生产部署中最可靠的选择。结合 Let's Encrypt 或 ZeroSSL 等公共 CA 提供的 SSL 证书，可构建符合浏览器信任链、企业安全审计及 SSO 集成要求的加密通道。

bangtuo9862的博客 356

SAP B1中文培訓教材_SDK

公司内部培训资料，对开发工具，DIAPI， UIAPI，Add-ON有详细解说

Ubuntu 20.04 下 Apache mod_proxy 反向代理实战指南

反向代理是现代 Web 架构中实现流量分发、安全加固与协议适配的核心技术。其本质是 HTTP 协议层的请求重写与响应翻译，依赖稳定可靠的服务器模块与明确的配置语义。Apache 的 mod_proxy 在 Ubuntu 20.04 LTS 环境中展现出独特优势：开箱即用的 TLS 1.3 支持、可审计的模块加载机制、精准的 Header 覆盖能力，以及对等保合规、政务云日志格式等强约束场景的天然适配。相比 Nginx 的隐式行为或云原生网关的抽象复杂度，Apache 提供了文本可比对、diff 可追溯、错误

weixin_30487201的博客 644

Devexpress16.2.6破解工具

Devexpress16.2.6破解工具Devexpress16.2.6破解工具Devexpress16.2.6破解工具Devexpress16.2.6破解工具

Data-Structures-and-Algorithm-Analysis-in-Java.pdf

作者: Weiss, Mark A. 出版社: Addison Wesley Data Structures and Algorithm Analysis in Java is an “advanced algorithms” book that fits between traditional CS2 and Algorithms Analysis courses. In the old ACM Curriculum Guidelines, this course was known as CS7. This text is for readers who want to learn good programming and algorithm analysis skills simultaneously so that they can develop such programs with the maximum amo...

Ubuntu 18.04 + Caddy 零配置 HTTPS 部署实战

HTTPS 是现代 Web 服务的安全基石，其核心在于 TLS 协议实现、证书生命周期管理与自动化运维能力。Caddy 作为首个将 HTTPS 默认化、自动化、零配置化的生产级反向代理，依托内置 ACME 客户端与 Go 原生 crypto/tls 实现，彻底解耦系统 OpenSSL 依赖，在 Ubuntu 18.04 等 LTS 环境中稳定支持 TLS 1.3、HTTP/2 与自动续期。它不替代 Nginx，而是重构部署范式——将证书申请、HSTS 启用、安全头注入等原本需 DevOps 手动编排的任务，

weixin_34234721的博客 393

Camera2Demo

在Camera2 的基础上进行封装，使得Camera2一堆初始化逻辑与Activity分离，降低耦合度，完成预览拍照并保存的操作

Nginx反向代理动态接口404问题排查与配置详解

反向代理是Web架构中的核心组件，用于将客户端请求转发至后端服务器，实现负载均衡、安全隔离和路径重写。其工作原理是通过配置规则匹配请求URI，并定向到指定上游服务。该技术对于解耦前后端、提升系统可扩展性至关重要，广泛应用于微服务网关、单页应用部署和API聚合等场景。在实际工程实践中，Nginx作为高性能反向代理服务器，其`location`匹配规则与`proxy_pass`指令的细节配置常导致动态接口404错误。例如，`proxy_pass`指令结尾斜杠的缺失会保留代理前缀，致使请求路径与后端路由不匹配；同

weixin_30325971的博客 733

nginx配置http和https和stream

qq_35911118的博客 50

FastAPI安全实战：从传输层到数据层的四层防御体系

API安全是现代Web应用的核心保障能力，其本质是在请求生命周期中构建可验证、可审计的信任链。理解HTTPS强制跳转原理、CORS预检机制、JWT签名验证逻辑与OpenAPI敏感信息泄露风险，是保障FastAPI服务不被越权访问、数据未脱敏暴露、文档反向泄露配置的关键基础。本文聚焦FastAPI生态下的安全工程实践，深入解析传输层加密、协议层防护、应用层鉴权与数据层约束四大技术维度，结合OWASP API Security Top 10与NIST标准，提供可落地的中间件配置、Pydantic强校验策略及生产

chiyingliao3565的博客 326

Nginx map模块详解：Ubuntu 20.04下高效实现多维流量路由

Nginx的map模块是一种编译期变量映射机制，区别于运行时if指令，它通过预计算哈希查表实现O(1)零开销条件判断，是现代Nginx配置中替代if进行请求分流、灰度发布、设备识别和安全头注入的核心技术。其原理基于配置解析阶段的正则预编译与键值索引构建，技术价值在于高并发下的确定性性能、无副作用的声明式逻辑及跨server/location的变量复用能力。典型应用场景包括User-Agent设备识别、多条件灰度路由、Referer+Geo双因子防盗链、动态Header注入等。本文聚焦Ubuntu 20.04

weixin_30736301的博客 393

Windows下自签SSL证书与Nginx配置，打造安全的本地HTTPS开发环境

本文详细介绍了在Windows环境下使用OpenSSL生成自签名SSL证书，并通过Nginx配置实现本地HTTPS开发环境的完整流程。从证书生成、Nginx SSL配置到浏览器信任设置，逐步指导开发者构建安全的本地测试环境，解决微信小程序等现代Web开发中的HTTPS强制要求问题。

weixin_33853794的博客 396

JWT技术原理与前端安全实践指南

JSON Web Token（JWT）是一种基于JSON的开放标准（RFC 7519），用于安全地在网络应用间传递声明信息。其核心由Header、Payload和Signature三部分组成，通过数字签名确保数据完整性。在Web安全领域，JWT常用于无状态认证，相比传统Session机制更适用于分布式系统。前端开发中需特别注意XSS/CSRF防护，合理选择localStorage、sessionStorage或HttpOnly Cookie等存储方案。通过Axios拦截器可实现自动化令牌管理，而.NET C

weixin_30421809的博客 352

Nginx配置安全深度解析：从CVE-2021-23017看指令式配置的攻击面与加固实践

在Web应用安全领域，配置管理是保障服务稳定性的基础环节。指令式配置作为广泛使用的配置模型，通过一系列声明性指令控制软件行为，其灵活性和表达能力支撑了复杂的网络服务架构。然而，这种灵活性也带来了安全风险，配置指令的组合爆炸、隐式行为以及对外部输入的依赖，可能形成潜在的攻击面。从技术原理上看，配置指令与外部输入的交互可能触发底层代码缺陷，例如Nginx的resolver指令在处理恶意DNS响应时可能引发堆溢出漏洞，这体现了配置驱动型漏洞的典型模式。在工程实践中，配置安全的价值在于构建纵深防御体系，通过最小权限

532

上一篇： cordova 生成 android 页面访问跨域问题

下一篇： ORACLE LEVEL,CONNECT BY,PRIOR,START WITH

HTTP请求头安全攻防实战：从XSS/CSRF到CSP/HSTS的深度解析

06-30

328