X-Frame-Options to sameorgin

最新推荐文章于 2025-01-22 21:59:33 发布

原创最新推荐文章于 2025-01-22 21:59:33 发布 · 6.2k 阅读

3 ·

CC 4.0 BY-SA版权

php 同时被 3 个专栏收录

29 篇文章

订阅专栏

nginx

4 篇文章

订阅专栏

linux

4 篇文章

订阅专栏

X-Frame-Options是一个HTTP头部字段，用于防止点击劫持，确保网页不会在其他站点的框架（frame）中加载。其有DENY、SAMEORIGIN和ALLOW-FROM三个值。DENY阻止所有页面嵌套，SAMEORIGIN允许同域名下嵌套，ALLOW-FROM则指定特定源可以展示该页面。正确设置此头字段对于网站安全性至关重要。

简单来说就是当前域名不允许随便嵌套在别的域名下

X-Frame-Options 有三个值: 各自独立
DENY : 表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

       location / {
           deny 192.168.1.1;
           allow 192.168.1.0/24;
           allow 10.1.1.0/16;
           allow 2001:0db8::/32;
           deny all;
       }

SAMEORIGIN : 表示该页面可以在相同域名页面的 frame 中展示。设置方式 add_header X-Frame-Options SAMEORIGIN;
ALLOW-FROM uri : 表示该页面可以在指定来源的 frame 中展示。设置方式 add_header X-Frame-Options "ALLOW-FROM http://ex.com"; 多个以英文逗号隔开(add_header X-Frame-Options "ALLOW-FROM http://ex.com, http://ex.com";)
换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。