安全

2019独角兽企业重金招聘Python工程师标准>>>

1、 X-Frame-Options 点击劫持漏洞

点击劫持（ClickJacking）是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。 HTTP 响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个 iframe 中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持。

解决方法：https://www.cnblogs.com/wdnnccey/p/6476518.html

2、屏蔽PUT、DELETE、OPTION等不安全的HTTP方法

http://www.duyaofei.com/2018/05/05/nginxtomcat%E5%B1%8F%E8%94%BDput%E3%80%81delete%E3%80%81option%E7%AD%89http%E4%B8%8D%E5%AE%89%E5%85%A8%E6%96%B9%E6%B3%95/

转载于:https://my.oschina.net/u/2403498/blog/3053232