X-Frame-Options 响应头-----与iframe相遇

2019独角兽企业重金招聘Python工程师标准>>>

在使用iframe嵌套页面的时候，发现一个网站的怎么样都嵌套不进去iframe的框架中，而其他的网页都可以直接嵌套进去，开始以为是跨越的问题，结果不找不知道，原来在服务器端的配置问题也可以导致iframe嵌套无法使用。

   接下来，就是发现问题。

  在嵌套后点击跳转页面的时候就会出现： because it set 'X-Frame-Options' to 'SAMEORIGIN' 的错误，

在一篇英文文档中找到了问题的所在：

https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet

 哈哈，表示并没有将这个文档看完，只是找到了关键字

翻译出来就是：只允许当前站点对内容进行框架。

在此基础上找到了一篇中文文档：

https://developer.mozilla.org/zh-CN/docs/Web/HTTP/X-Frame-Options

可以确认的是：这个值虽然是在apache，nginx 之类的服务器中配置，却直接影响了iframe嵌套的使用.

X-Frame-Options 有三个值:

DENY

表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

SAMEORIGIN

表示该页面可以在相同域名页面的 frame 中展示。

ALLOW-FROM uri

表示该页面可以在指定来源的 frame 中展示。

换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。

 

结束语：

最后的结果是把服务器上的配置改了，不知道这样有没有其他的问题发生，安全性可能会有点差了吧。。。。

在网上还找到其他的控制网站不能被其他框架嵌套的方法，不过暂时没有使用过，无法辩论其真假。

前端的东西还多着呢，还有很多的知识点需要不断的积累，如果有大神看到，还请多多留言，指点一二！

 

 

 

转载于:https://my.oschina.net/tianyuqin/blog/906528