如何防止自己的网页被别人iframe嵌入

happyxp · 发表于 2020-11-16 17:30:36

前面说了如何阻止 iframe里引用的网页自动跳转，已达到iframe页面的目的。
这次讲一下如何防止自己的网页被别人iframe。

1、这些方法都可行，但不是太可靠。

<script language="javascript">
. n& d4 B \9 \0 E8 j: g) h# |2 ]
if( top.location != self.location) top.location.href=self.location.href;, r8 P) I$ {0 j/ T, ^- @4 c& }% j
</script>

复制代码

或

<script language="javascript">; V' X* O1 _. _( o* R
if (top.location != location) top.location.href = location.href;! D) q6 P- p2 Y" C# u7 }* }7 |
</script>

复制代码

或

<script language="javascript">* a! i* g7 m( H& `' E- t" r# K% u+ l0 U
if (top.location != self.location) {top.location=self.location;}5 U$ u8 q& U! h" L3 E- l
</script>

复制代码

或

<script language="javascript">
2 ~) ]+ G" r5 f; i8 ?$ Q) w* ?% f
if (top.frames.length!=0) top.location=self.document.location;% w3 r& O& ~4 V) M/ G- r
</script>

复制代码

不可靠的原因：
当别人用如下类似代码做IFRAME嵌套调用时，就可能躲过你的页面的javascript代码。

<iframe src="http://xp6.org/" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv" framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>
" h5 l) ` G* W; x' z9 t8 Z
<script language="javascript">
# S! j$ ^/ \3 k/ K) C
var location="";, P: `- a: t, T1 o7 c% A! l r: o2 y
var navigate="";
# x9 ~( D, r9 y8 P; T8 ?
frames[0].location.href="";
" B7 e# R7 z/ {- o' z* {" ]
</script>

复制代码

或

<iframe src="http://xp6.org/" class="t-iframe" scrolling="no" security="restricted" sandbox="">

复制代码

或

<script type="text/javascript" charset="utf-8">
; u1 U( ?4 i9 O0 b& w2 A, X
document.write('<iframe seamless sandbox security="restricted" id="url_mainframe" frameborder="0" scrolling="yes" name="main" src="http://xp6.org/" style="height:100%; visibility: inherit; width: 100%; z-index: 1;overflow: visible;"></iframe>');/ U7 F$ u( U3 c# |
</script>

复制代码

2、代码层次的屏蔽，方法可行，但不是很人性化。
Meta标签方法

<meta http-equiv="X-FRAME-OPTIONS" content="DENY">

复制代码

PHP方法

<?php header('X-Frame-Options:Deny'); ?>

复制代码

Apache主机方法

Header always append X-Frame-Options SAMEORIGIN

复制代码

Nginx主机方法

add_header X-Frame-Options "SAMEORIGIN";

复制代码

.htaccess方法
在网站根目录下的.htaccess文件中中加一句

Header append X-FRAME-OPTIONS "SAMEORIGIN"

复制代码

IIS方法
在web.config文件中加

<system.webServer>
6 ]5 b9 N: i, y- N: S; q T: }/ F
...
( L9 I7 ]( S, f7 R
<httpProtocol>
! i! g; {8 Z0 r4 i
<customHeaders>& ^* v0 P" a5 t" E8 N! U K
<add name="X-Frame-Options" value="SAMEORIGIN" />
$ e, B& B4 R' |# Z" J: d) {' N6 Y
</customHeaders>
; r3 u" R. g4 x5 _1 _; L- S9 E; }, \: P
</httpProtocol>
) A5 \) U% s. ?( z) }6 v
...
1 [6 i7 o( L# s ?
</system.webServer>

复制代码

之所以说不人性化，是因为这样操作之后，别人iframe会显示服务器拒绝之类的信息，虽然是屏蔽了，但是自己网站也不能宣传了。

3、推荐解决方法。

<script language="javascript"> & C# f* P3 v0 e: {6 U0 }, Z8 V, q6 o
if(top != self){
+ ]# C( b2 \0 l8 t5 ]* s4 l, K, @
location.href = "http://xp6.org/iframe.html"; " J5 T! K1 z$ P/ A8 M
top.location.href=self.location.href;
; Q6 C+ r8 c) A/ R3 d1 B2 g5 N
}
3 }# O1 b8 q$ g6 }/ h+ O" Y
</script>

复制代码

将上面的代码复制到需要屏蔽页面<head>里面加载。
制作一个iframe.html页面里面放张网站宣传图片，加个链接，放到网站根目录。
原理：
第一步直接强制访问咱自己设定的iframe.html页面，如果网站禁用了JS跳转，那么执行到这一步就结束了，这样即使他们iframe了咱的网站，看到的只是咱的图片宣传页。
第二步，如果没有禁用JS，那么会接着执行top.location.href=self.location.href; ，然后跳转到我们的网址页面。
目前测试这种方法没什么问题。

[网站] 如何防止自己的网页被别人iframe嵌入