java xframeoptions,Header:X-Frame-Options开启与关闭方法

X-Frame-Options头主要是为了防止站点被别人劫持,iframe引入

一、nginx配置形式:

add_header X-Frame-Options ALLOWALL; #允许所有域名iframe

add_header X-Frame-Options DENY; #不允许任何域名iframe,包括相同的域名

add_header X-Frame-Options SANEORIGIN; #允许相同域名iframe,如a.test.com允许b.test.com

add_header X-Frame-Options ALLOW-FROM uri; #允许指定域名iframe,

配置可以放入到nginx的 http 或者 server 中

实例:

二、通过EnableWebSecurity配置

X-Frame-Options 有三个值:

DENY

表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

SAMEORIGIN

表示该页面可以在相同域名页面的 frame 中展示。

ALLOW-FROM uri

表示该页面可以在指定来源的 frame 中展示。

spring boot支持EnableWebSecurity 这个anotation来设置不全的安全策略。 具体如下：

import com.alibaba.spring.websecurity.DefaultWebSecurityConfigurer;

import org.springframework.context.annotation.Configuration;

import org.springframework.security.config.annotation.web.builders.HttpSecurity;

import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;

import org.springframework.security.web.header.writers.frameoptions.WhiteListedAllowFromStrategy;

import org.springframework.security.web.header.writers.frameoptions.XFrameOptionsHeaderWriter;

import java.util.Arrays;

@EnableWebSecurity

@Configuration

public class WebSecurityConfig extends DefaultWebSecurityConfigurer {

@Override

protected void configure(HttpSecurity http) throws Exception {

super.configure(http);

//disable 默认策略。 这一句不能省。

http.headers().frameOptions().disable();

//新增新的策略。

http.headers().addHeaderWriter(new XFrameOptionsHeaderWriter(

new WhiteListedAllowFromStrategy(

Arrays.asList("http://itaobops.aliexpress.com", "https://cpp.alibaba-inc.com",

"https://pre-cpp.alibaba-inc.com"))));

}

}

上面是支持ALLOW-FROM uri的设置方式。

其他设置方式比较简单。 下面是支持SAMEORIGIN的设置方式：

@EnableWebSecurity

@Configuration

public class WebSecurityConfig extends DefaultWebSecurityConfigurer {

@Override

protected void configure(HttpSecurity http) throws Exception {

super.configure(http);

http.headers().frameOptions().sameOrigin();

}

}

三、去除x-frame-options header配置：

@EnableWebSecurity

@Configuration

public class WebSecurityConfig extends DefaultWebSecurityConfigurer {

@Override

protected void configure(HttpSecurity http) throws Exception {

super.configure(http);

http.headers().frameOptions().disable();

}

}