X-Frame-Options：拒絕所有域期望 web.config 中的 3 個域

Question

為了避免點擊劫持，我確實希望我的 web 應用程序通過 iFrame 加載。在 web.config 中添加了以下配置以限制來自除以下 3 個域之外的所有域的訪問。

<add name="X-Frame-Options" value="DENY" />
<add name="X-Frame-Options" value="ALLOW-FROM https://domain1 https://domain2 https://domain3" />

上述更改不起作用。

請告訴我正確的 X-Frame-Options 配置以拒絕 web.config 中除 3 個域之外的所有域。 謝謝

Answer 1

如您所見，對 ALLOW-FROM的支持並不廣泛。 您應該改為設置以下 header：

<add name="Content-Security-Policy" value="frame-ancestors domain1 domain2 domain3;" />

設置 Content-Security-Policy frame-ancestors 會廢棄 X-Frame-Options ，因此瀏覽器將忽略該 header 設置的任何值。