X-Frame-Options配置

最新推荐文章于 2024-12-13 22:36:50 发布

-JackoChan

最新推荐文章于 2024-12-13 22:36:50 发布

阅读量2.3w

点赞数 8

CC 4.0 BY-SA版权

分类专栏：配置文章标签： X-Frame-Options Apache Linux Ubuntu

本文链接：https://blog.csdn.net/JACKO_CHAN/article/details/52279141

配置专栏收录该内容

4 篇文章

订阅专栏

本文介绍了如何在Apache、Nginx及IIS服务器中设置X-Frame-Options响应头，以控制页面是否允许在iframe中展示，并提供了具体的配置方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

因为最近项目需要接入数据统计，其中一项功能需要开启iframe形式来加载页面，所以就开始研究一下iframe如何配置~~~

X-Frame-Options：

他的值有三个：

（1）DENY --- 表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

（2）SAMEORIGIN --- 表示该页面可以在相同域名页面的 frame 中展示。

（3）ALLOW-FROM https://example.com/ --- 表示该页面可以在指定来源的 frame 中展示。

配置Apache：

（如果是在本地的话，就是在httpd.conf里面配置；如果是linux（ubuntu的话）就是在apache2.conf里面）

找个空的位置加入这行代码，具体看你是选择哪种

<span style="font-size:14px;">Header always append X-Frame-Options SAMEORIGIN</span>

有可能会遇到一种情况，就是我在服务端配置完apache之后，尝试 Restart Apache 但是报了一个错误：

Invalid command ‘Header’, perhaps misspelled or defined by a module not included in the server configuration

header的方法模块没有安装，我们需要先自行安装一下：

先输入 a2enmod heade ，然后需要重启一下Apache，输入service apache2 restart

配置Nginx：

配置 nginx 发送 X-Frame-Options 响应头，把下面这行添加到 'http', 'server' 或者 'location' 的配置中:

<span style="font-size:14px;">add_header X-Frame-Options SAMEORIGIN;</span>

配置IIS：

配置 IIS 发送 X-Frame-Options 响应头，添加下面的配置到 Web.config 文件中:

<system.webServer>
  ...

  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="SAMEORIGIN" />
    </customHeaders>
  </httpProtocol>

  ...
</system.webServer>

大概配置就是这样了，之前在寻找配置iframe加载的时候，看到有些文章说iframe加载容易被劫持，当然也有破解的方法，不过没有详细地去看，有兴趣的朋友可以去了解下！