西安網(wǎng)絡(luò)公司，小宏有人反饋了一個(gè)在iframe內(nèi)無(wú)法調(diào)用網(wǎng)站同一個(gè)站點(diǎn)的頁(yè)面問(wèn)題并報(bào)錯(cuò)，就在網(wǎng)站查了一些相關(guān)的資料，整理一下關(guān)于禁止網(wǎng)站所有頁(yè)面或某一個(gè)頁(yè)面被iframe內(nèi)框架調(diào)用的方法。網(wǎng)站iframe內(nèi)框架調(diào)用頁(yè)面報(bào)錯(cuò)如下:

Refused to display http://xxxxxx.com in a frame because it set 'X-Frame-Options' to 'deny'.

復(fù)制

通過(guò)查到的資料可得知，此錯(cuò)誤與iframe框架被調(diào)用頁(yè)面的 HTTP 標(biāo)頭中 X-Frame-Options 設(shè)置有關(guān)，所以整理了如下資料

X-Frame-Options 介紹

X-Frame-Options是一個(gè)HTTP響應(yīng)頭，用來(lái)告訴瀏覽器此頁(yè)面是否可以在其它網(wǎng)頁(yè)中的frame或iframe標(biāo)簽中被渲染，網(wǎng)站可以利用此響應(yīng)頭來(lái)避免被其它網(wǎng)站所劫持。

X-Frame-Options有三個(gè)參數(shù)值，分別如下

DENY：表示不能被嵌入到任何iframe或frame中。

SAMEORIGIN：表示頁(yè)面只能被本站頁(yè)面嵌入到iframe或者frame中。

url，指定是一個(gè)域名，表示此網(wǎng)頁(yè)只能被指定域名下的頁(yè)面中的框架所調(diào)用

X-Frame-Options 使用如下

html代碼

以下代碼，添加到HTML頁(yè)面中的head標(biāo)簽內(nèi)即可

代碼1：html頁(yè)面禁止被框架調(diào)用

<meta http-equiv="X-Frame-Options" content="deny">

復(fù)制

代碼2：只允許頁(yè)面被本站調(diào)用

<meta http-equiv="X-Frame-Options" content="SAMEORIGIN">

復(fù)制

代碼3：只允許頁(yè)面被指定URL嵌套調(diào)用

<meta http-equiv="X-Frame-Options" content="http://www.hooboo.cn">

復(fù)制

經(jīng)過(guò)測(cè)試，使用以上代碼個(gè)別瀏覽器會(huì)拋出如下錯(cuò)誤提示，使用時(shí)請(qǐng)慎重

 X-Frame-Options may only be set via an HTTP header sent along with a document. It may not be set inside <meta>.

復(fù)制

PHP代碼

<?php

//示例1

header('X-Frame-Options: deny');

//示例2

header('X-Frame-Options: SAMEORIGIN');

//示例3

header('X-Frame-Options: http://www.hooboo.cn');

?>

復(fù)制

PS：網(wǎng)站被iframe內(nèi)框架調(diào)用的危害性

攻擊者可以使用一個(gè)透明的、不可見(jiàn)的iframe標(biāo)簽，加載目標(biāo)頁(yè)面，然后通過(guò)調(diào)整iframe頁(yè)面的位置，誘導(dǎo)用戶進(jìn)行點(diǎn)擊操作頁(yè)面的功能區(qū)，并劫持用戶的數(shù)據(jù)，達(dá)到劫持頁(yè)面的目的。