Tomcat如何配置"X-Frame-Options"头

最新推荐文章于 2024-08-23 17:58:47 发布

讓丄帝愛伱

最新推荐文章于 2024-08-23 17:58:47 发布

阅读量2.5k

点赞数 1

文章标签：过滤器 tomcat servlet java web

本文链接：https://blog.csdn.net/ximaiyao1984/article/details/120287385

版权

本文介绍了如何通过设置HTTP响应头的X-Frame-Options属性来防止页面被嵌入到其他站点的框架中，从而避免点击劫持攻击。提供了三种配置方法：在每个页面中直接添加、在项目级别设置过滤器以及在服务器级别（如Tomcat）全局配置。重点讲解了SAMEORIGIN参数的使用，确保只有同源域名的页面能加载该内容。

摘要由CSDN通过智能技术生成

原理：配置http的响应头信息：属性名X-Frame-Options
可以配置的参数有两个：

DENY：浏览器拒绝当前页面加载任何Frame页面。
SAMEORIGIN：页面只能加载入同源域名下的页面。
ALLOW-FROM uri：只能被嵌入到指定域名的框架中。一般选第二个参数就可以了。

方式一：每页面添加(不推荐)

<% response.addHeader("x-frame-options","SAMEORIGIN");%>

方式二：单个项目生效：

在src目录下建一个包，命名为filter。在包里建类名为FrameTao。内容如下:

package filter;

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class FrameTao implements Filter {

    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        // 必须
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;
        // 实际设置
        response.setHeader("x-frame-options", "SAMEORIGIN");
        // 调用下一个过滤器（这是过滤器工作原理，不用动）
        chain.doFilter(request, response);
    }

    public void init(FilterConfig config) throws ServletException {
    }

    public void destroy() {
    }
}

在web.xml文件下添加以下内容：

<!-- 设置Frame头，防止被嵌套 -->
<filter>
  <filter-name>FrameFilter</filter-name>
  <filter-class>filter.FrameTao</filter-class>
</filter>
<filter-mapping>
  <filter-name>FrameFilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

方式三：服务器(tomcat)上所有项目生效：

tomcat目录/conf/web.xml中的搜索httpHeaderSecurity配置（低版本不支持，需Tomcat 7.0.69以上），将其前面的注释去掉即可。

<filter-mapping>
	<filter-name>httpHeaderSecurity</filter-name>
	<url-pattern>/*</url-pattern>
	<dispatcher>REQUEST</dispatcher>
</filter-mapping>

<filter>
	<filter-name>httpHeaderSecurity</filter-name>
	<filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
	<async-supported>true</async-supported>
	<!--以下为额外添加-->
	<init-param>
		<param-name>antiClickJackingEnabled</param-name>
		<param-value>true</param-value>
	</init-param>
	<init-param>
		<param-name>antiClickJackingOption</param-name>
		<param-value>SAMEORIGIN</param-value>
	</init-param>
</filter>

重启服务器

打开火狐浏览器，打开你的此项目任一网页。右键查看元素：