web安全：x-frame-options(防止网页被嵌套)头配置

最新推荐文章于 2023-07-06 22:59:21 发布

TivonaLH

最新推荐文章于 2023-07-06 22:59:21 发布

阅读量2k

点赞数

分类专栏：安全检测及处理

本文链接：https://blog.csdn.net/TivonaLH/article/details/86307278

版权

安全检测及处理专栏收录该内容

10 篇文章 1 订阅

订阅专栏

1.写一个过滤器

public class RequestFilter implements Filter {
	private  final static Logger log=Logger.getLogger("RequestFilter");
	@Override
	public void destroy() {
		// TODO Auto-generated method stub
		
	}

	@Override
	public void doFilter(ServletRequest request, ServletResponse response,
			FilterChain chain) throws IOException, ServletException {
		// TODO Auto-generated method stub
        HttpServletRequest req=(HttpServletRequest)request;
        HttpServletResponse res=(HttpServletResponse)response;
		String method = req.getMethod();
		
		res.setHeader("x-frame-options", "SAMEORIGIN"); //

        //执行下一个过滤器
        chain.doFilter(request, response);
	}

	@Override
	public void init(FilterConfig arg0) throws ServletException {
		// TODO Auto-generated method stub
		
	}

	

}

2.项目中web.xml配置过滤器

    <filter>
  		<filter-name>RequestFilter</filter-name>
  		<filter-class>com.jz.fw_easyui.ss.filter.RequestFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>RequestFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

3.x-frame-options默认有三个值

DENY

表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

SAMEORIGIN

表示该页面可以在相同域名页面的 frame 中展示。

ALLOW-FROM

表示该页面可以在指定来源的 frame 中展示，即可以显示出URL

换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。