ASP.NET MVC 5 默认不发送 X-Frame-Options 标头

Question

这篇文章似乎暗示 ASP.NET MVC 5 网站会自动发送值为SAMEORIGIN的X-Frame-Options HTTP 标头。

我希望默认情况下，我观​​察到我的网站，它没有。

即使添加以下代码行，如果默认行为是发送标头，这将是不必要的，似乎也不会发送它。

AntiForgeryConfig.SuppressXFrameOptionsHeader = false;

我可以添加一个动作过滤器属性并明确地做到这一点。 但是我想知道如果我想默认发送带有SAMEORIGIN值的标头，我是否遗漏了什么？

我正在使用面向 .NET Framework 4.6.1 的 ASP.NET MVC 5.2.4。

Answer 1

如果您将在视图上使用@Html.AntiForgeryToken() ，它将默认添加。 如果您不使用它，则需要显式添加此标头，例如在操作过滤器属性中。