X-Frame-Options未配置

r囧r小猫 2022-05-08 06:06 160阅读 0赞

> 点击劫持（ClickJacking）是一种视觉上的欺骗手段。攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。

HTTP 响应头信息中的X-Frame-Options，可以指示浏览器是否应该加载一个 iframe 中的页面。如果服务器响应头信息中没有X-Frame-Options，则该网站存在ClickJacking攻击风险。网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持。

修改web服务器配置，添加X-Frame-Options响应头。赋值有如下三种：  
1、DENY：不能被嵌入到任何iframe或者frame中。  
2、SAMEORIGIN:页面只能被本站页面嵌入到iframe或者frame中。  
3、ALLOW-FROM uri：只能被嵌入到指定域名的框架中。

**单个项目生效：**  
编写一个过滤器或者在已存在的过滤器中加入

response.setHeader("x-frame-options", "SAMEORIGIN");

**服务器(tomcat)上所有项目生效：**  
tomcat目录/conf/web.xml中的搜索`httpHeaderSecurity`配置，将其前面的注释去掉即可。

<filter-mapping>
          <filter-name>httpHeaderSecurity</filter-name>
          <url-pattern>/*</url-pattern>
          <dispatcher>REQUEST</dispatcher>
     </filter-mapping>

<filter>
          <filter-name>httpHeaderSecurity</filter-name>
          <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
          <async-supported>true</async-supported>
          // 以下为额外添加
          <init-param>
    		   <param-name>antiClickJackingEnabled</param-name>
    		   <param-value>true</param-value>
          </init-param>
          <init-param>
    		   <param-name>antiClickJackingOption</param-name>
    		   <param-value>SAMEORIGIN</param-value>
          </init-param>
      </filter>

--------------------

\------------本文结束感谢您的阅读------------