IFrame安全问题解决办法（跨框架脚本(XFS)漏洞）

    最近项目要交付了，对方安全测试的时候检测出高危险漏洞，由于刚参加工作不久，经验不足，未涉及过此方面的东西。经过一番查询和探索，最终解决了这个问题，记录一下。 发现的漏洞为缺少跨框架脚本保护。跨框架脚本(XFS)漏洞使攻击者能够在恶意页面的 HTMLiframe 标记内加载易受攻击的应用程序。攻击者可以使用       此漏洞设计点击劫持攻击，以实施钓鱼式攻击、框架探查攻击、社会工程攻击或跨站点请求伪造攻击。个人理解就是其他网站会在他的iframe中调用我的网站内容，来截取他人的点击事件或者窃取他人敏感信息。

    在网上查了一下，有这类问题的说明，但是都是告诉要设置什么，却没有说具体在哪里配置。最后只能自己想办法。检测结果中提出了修复的方法：

        浏览器供应商已使用 X-Frame-Options标头引入并采用基于策略的缓解技术。如果站点包含在 iframe内，则开发人员可以使用此标头指示浏览器执行相应操作。开发人员必须将X-Frame-Options标头设置为以下允许的值之一:

        · DENY拒绝设置页面框架的所有尝试

        · SAMEORIGIN仅当另一页面与设置框架的页面属于同一源时，该另一页面才能充当此页面的框架

        ·