Nginx防止点击劫持:X-Frame-Options

就是你的页面,被别人网站在iframe标签中引用了。我看到很多的所谓AI绘画的网站,其实它就是通过iframe引用了别人的AI绘画的页面。

网站被别人的iframe标签中引用,还不是最坏的,更可恶的是,它通过iframe标签向我们的网站注入外部的JS脚本。为什么可以这样子,因为iframe引用网站,相当于浏览器另外打开了个窗口,对浏览器来说,是同源的。那么它就可以通过js操作DOM,往这个iframe引用的网站页面写入<script>标签,从而注入外部的JS脚本。哪怕你在Nginx的内容安全策略CSP写明了script-src 'self',也就是执行的js脚本只能是本页面的js脚本,都于事无补,这种漏洞就叫做点击劫持,就相当于你的页面被别人劫持了。

所以nginx的响应头应该添加:

http {
	add_header X-Frame-Options DENY;
}

就是禁止页面被iframe引用,X-Frame-Options还有常用的另一个值:SAMEORIGIN,就是页面可以被iframe引用,但只能是同域名的iframe引用,其他域名的ifame标签不能引用这个页面。

http {
	add_header X-Frame-Options sameorigin always;
}

为什么要加always,因为Nginx的add_header只对状态码为2xx,3xx才有效,对4xx,5xx的不起作用,Nginx文档是对于add_header建议加上always

还有就是前端页面的标签不再支持添加 X-Frame-Options 头,必须在服务器设置,如果配置了HAProxy,同样是要配置在响应头添加X-Frame-Options

相关推荐
cmgdxrz2 小时前
金融项目实战 05|Python实现接口自动化——登录接口
运维·金融·自动化
Cui晨2 小时前
MAC AndroidStudio模拟器无网络
运维·服务器·网络
墨子裳3 小时前
Linux入门——权限
linux·运维·服务器
昵称难产中3 小时前
浅谈云计算09 | 服务器虚拟化
linux·运维·服务器·云计算
zstar-_3 小时前
个人主页搭建全流程(Nginx部署+SSL配置+DCDN加速)
运维·nginx·ssl
真想骂*3 小时前
自动化解决方案:修复devicedisplaystatusmanager.dll丢失
运维·microsoft·自动化
路星辞*4 小时前
PBR(策略路由)的几种使用方式
运维·服务器·网络·安全·pbr
会飞的土拨鼠呀4 小时前
开源的镜像扫描的软件
运维·服务器
基哥的奋斗历程4 小时前
Docker官网安装
运维·docker·容器