使用X-Frame-Options防止網頁被Frame

轉載自：http://code-tech.diandian.com/post/2013-10-07/40053975756

防止被 FRAME 加載你的網站頁面

1. meta 標籤：很多時候沒有效果，無視

<meta http-equiv="Windows-Target" contect="_top">

2. js 判斷頂層窗口跳轉，可輕易破解，意義不大

function locationTop(){
    if (top.location != self.location) {
        top.location = self.location;
        return false;       
    }
    return true;
}
locationTop();

破解：

// 頂層窗口中放入代碼
var location = document.location;
// 或者 var location = "";

3. header 控制，絕大部分瀏覽器支持

網站Sitemap的一些規則

使用 X-Frame-Options 有三個可選的值：

DENY：瀏覽器拒絕當前頁面加載任何Frame頁面

SAMEORIGIN：frame頁面的地址只能爲同源域名下的頁面

ALLOW-FROM：允許frame加載的頁面地址

PHP代碼:

header('X-Frame-Options:Deny');

Nginx配置:

add_header X-Frame-Options SAMEORIGIN

Apache配置:

Header always append X-Frame-Options SAMEORIGIN