HTTP响应头信息中的 X-Frame-Options属性

发表于

X-Frame-Options 有三个可选的值：

  • DENY：浏览器拒绝当前页面加载任何Frame页面
  • SAMEORIGIN：frame页面的地址只能为同源域名下的页面
  • ALLOW-FROM：origin为允许frame加载的页面地址
  • 可以在Network的Response Headers查看页面该属性

具体的设置方法：

Apache配置：

Header always append X-Frame-Options SAMEORIGIN

nginx配置：

add_header X-Frame-Options SAMEORIGIN;

IIS配置：

<system.webServer>
<httpProtocol>
<customHeaders>
<add name="X-Frame-Options" value="SAMEORIGIN" />
</customHeaders>
</httpProtocol>
</system.webServer>