.Net MVC 控制X-Frame-Options

最新推荐文章于 2024-12-13 22:36:50 发布

原创最新推荐文章于 2024-12-13 22:36:50 发布 · 2.9k 阅读

0 ·

CC 4.0 BY-SA版权

.Net技术专栏收录该内容

21 篇文章

订阅专栏

本文介绍ASP.NET MVC5中如何使用Html.AntiForgeryToken()来加入X-Frame-Options头，以防止页面被iframe嵌入，并提供禁用此功能的方法。此外还介绍了如何自定义该选项的值。

Asp.net MVC5在Html.AntiForgeryToken()中加入了X-Frame-Options输出.用于拒绝页面被iframe嵌入.

若禁用:

protected void Application_Start()
{
    AntiForgeryConfig.SuppressXFrameOptionsHeader = true;
}

只能启用禁用,不能设置值,因为源代码中将值写死了,若要控制值需要通过配置文件或自己写代码.

            if (!_config.SuppressXFrameOptionsHeader)
            {
                // Adding X-Frame-Options header to prevent ClickJacking. See
                // http://tools.ietf.org/html/draft-ietf-websec-x-frame-options-10
                // for more information.
                const string FrameHeaderName = "X-Frame-Options";
                if (httpContext.Response.Headers[FrameHeaderName] == null)
                {
                    httpContext.Response.AddHeader(FrameHeaderName, "SAMEORIGIN");
                }
            }