详解nginx的X-Frame-Options配置字段

nginx@X-Frame-Options

---

1 定位

X-Frame-Options ，是一个 HTTP 响应头

=

2 作用

• 用来给浏览器指示允许一个页面可否在 <frame>, </iframe> 或者 <object> 中展现的标记
• 网站可以使用此功能来确保自己网站的内容没有被嵌套到别人的网站中去，也从而避免了点击劫持 (clickjacking) 的攻击

=

3 配置参数

• DENY：表示该页面不允许在frame中展示，即便是在相同域名的页面中嵌套也不允许
• SAMEORIGIN：表示该页面可以在相同域名页面的 frame中展示
• ALLOW-FROM <uri>：表示该页面可以在指定来源的 frame中展示

=

4 nginx 实际配置范例

# 正常情况下都是使用SAMEORIGIN参数，允许同域嵌套
add_header X-Frame-Options SAMEORIGIN;

# 允许单个域名iframe嵌套
add_header X-Frame-Options ALLOW-FROM http://xxx.com/;

# 允许多个域名iframe嵌套，注意这里是用逗号分隔
add_header X-Frame-Options "ALLOW-FROM http://aa.com/,https://bb.cn/";

=

wan