Spring Security设置X-Frame-Options响应头

Spring Security配置X-Frame-Options防止点击劫持

最新推荐文章于 2024-10-19 22:19:59 发布

原创最新推荐文章于 2024-10-19 22:19:59 发布 · 5.1k 阅读

3 ·

CC 4.0 BY-SA版权

后端开发同时被 2 个专栏收录

8 篇文章

订阅专栏

SpringSecurity

1 篇文章

订阅专栏

本文介绍了Spring Security如何设置HTTP响应头X-Frame-Options，以防止点击劫持攻击。内容包括X-Frame-Options的取值说明及其作用，以及在Spring Security中的具体配置方法。

前言

被Security管理的接口中，其中可能包含html页面，而前端在开发时，可能使用frame标签。为了系统安全性，默认情况下X-Frame-Options是禁止的。

HTTP 响应头X-Frame-Options 说明

X-Frame-Options HTTP 响应报头可以被用来指示一个浏览器是否应该被允许在一个以呈现页面<frame>，<iframe>或<object>。通过确保其内容未嵌入其他网站，网站可以使用此功能来避免点击劫持攻击

取值说明

HTTP响应头	值	说明
X-Frame-Options	DENY	不管来自哪里，只要使用frame等标签，都无法显示，这里要注意，单独访问html页面是可以的
X-Frame-Options	SAMEORIGIN	只要是同源，可以显示html
X-Frame-Options	ALLOW-FROM https://xxx.com/	只要是允许的url，可以显示html

说明

对这个值的处理，仅仅是浏览器客户端的行为模式，请求数据依然会传递

Spring Security 配置

 @Override
        public void configure(HttpSecurity http) throws Exception {
            // @formatter:off
            http.headers().frameOptions().sameOrigin()
            //.and()... more config
            ;
            // @formatter:on
        }