8、网页应用安全防护及用户认证方法

网页应用安全防护及用户认证方法

1. Clickjacking 攻击与防护

在早期的网络中，网站常使用内联框架（inline frames）和 <iframe> HTML 标签来嵌入其他网站的内容。如今，这种方法不太受青睐，网站更倾向于使用更优雅的技术来整合不同来源的内容。然而，IFrame 技术仍被浏览器完全支持，并且可能引发一种危险的攻击——Clickjacking。

Clickjacking 是一种欺诈手段，允许恶意网站诱使用户点击指向不同网站的不可见链接。例如， badsite.net 创建一个指向 invoicer.com 的 IFrame，并使用样式指令将其设置为不可见。用户被诱骗访问 badsite.net 并点击一个链接，却未意识到该链接实际上是 invoicer.com 上一个屏幕上不可见的按钮。

为了防止 Clickjacking 攻击，可以采取以下措施：
- 使用 CSP（Content Security Policy） ：设置 child-src 'self' 策略，表明该网站只能被同源页面嵌入。
- 设置 HTTP 头 X - FRAME - OPTIONS ：返回值为 SAMEORIGIN 的该头信息，可防止浏览器从非同源网站加载 IFrame。

以下是在 invoicer 的首页添加 Cl