如何防止自己的网页被别人iframe嵌入

happyxp · 发表于 2020-11-16 17:30:36

前面说了如何阻止 iframe里引用的网页自动跳转，已达到iframe页面的目的。
这次讲一下如何防止自己的网页被别人iframe。

1、这些方法都可行，但不是太可靠。

<script language="javascript">
3 L7 Z. x! B) }1 l5 B4 T3 n
if( top.location != self.location) top.location.href=self.location.href;
& p3 W0 I% [6 y, Q
</script>

复制代码

或

<script language="javascript">
( J4 K* Q6 ^* t" B! F- F
if (top.location != location) top.location.href = location.href;2 I2 W2 U5 }* P* D, q3 \8 l
</script>

复制代码

或

<script language="javascript">
P# K- `* \: k. G
if (top.location != self.location) {top.location=self.location;}* c; v9 y9 ~3 u! t
</script>

复制代码

或

<script language="javascript">; d# F& q& d% ] Y) ^0 e
if (top.frames.length!=0) top.location=self.document.location;
2 ~# H5 ?! S, e7 I, ~
</script>

复制代码

不可靠的原因：
当别人用如下类似代码做IFRAME嵌套调用时，就可能躲过你的页面的javascript代码。

<iframe src="http://xp6.org/" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv" framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>
# x3 N- f" N# N5 S0 T R
<script language="javascript">
/ X$ C8 E; r) y% F V. r0 ?3 s
var location="";& N" @8 F% L3 j5 c v
var navigate="";
g/ I. _7 @" D8 {6 Z
frames[0].location.href="";
$ \5 v9 S8 P# [6 ~- Y+ k! o
</script>

复制代码

或

<iframe src="http://xp6.org/" class="t-iframe" scrolling="no" security="restricted" sandbox="">

复制代码

或

<script type="text/javascript" charset="utf-8">, Q/ y( C2 R0 F2 F3 L$ Q" P
document.write('<iframe seamless sandbox security="restricted" id="url_mainframe" frameborder="0" scrolling="yes" name="main" src="http://xp6.org/" style="height:100%; visibility: inherit; width: 100%; z-index: 1;overflow: visible;"></iframe>');
/ a$ h% s6 X+ {# `1 b3 F: f
</script>

复制代码

2、代码层次的屏蔽，方法可行，但不是很人性化。
Meta标签方法

<meta http-equiv="X-FRAME-OPTIONS" content="DENY">

复制代码

PHP方法

<?php header('X-Frame-Options:Deny'); ?>

复制代码

Apache主机方法

Header always append X-Frame-Options SAMEORIGIN

复制代码

Nginx主机方法

add_header X-Frame-Options "SAMEORIGIN";

复制代码

.htaccess方法
在网站根目录下的.htaccess文件中中加一句

Header append X-FRAME-OPTIONS "SAMEORIGIN"

复制代码

IIS方法
在web.config文件中加

<system.webServer>
0 m; f' s1 d% d9 }4 G, o! y& x
...% E* `' p6 C% z* V
<httpProtocol>3 T s& C' v5 r
<customHeaders>7 \$ p1 ?1 q: f5 J H5 w# r
<add name="X-Frame-Options" value="SAMEORIGIN" /> ( C1 d# F7 z( }% |# W
</customHeaders>
! f3 v( r* y8 b) Y' }
</httpProtocol> 7 }- ]) ?3 V* w6 F) |
...
& p9 A& {' y; H3 s
</system.webServer>

复制代码

之所以说不人性化，是因为这样操作之后，别人iframe会显示服务器拒绝之类的信息，虽然是屏蔽了，但是自己网站也不能宣传了。

3、推荐解决方法。

<script language="javascript"> 7 W8 r q6 {2 m. ], e& F% v
if(top != self){
9 w. _$ u; A' j8 k8 j0 L$ n1 f7 Z
location.href = "http://xp6.org/iframe.html"; ! ?9 k7 V# w% L1 \
top.location.href=self.location.href;
+ w: J6 |7 q2 [# x" S
}
* q. @ w" k( j$ Z' b
</script>

复制代码

将上面的代码复制到需要屏蔽页面<head>里面加载。
制作一个iframe.html页面里面放张网站宣传图片，加个链接，放到网站根目录。
原理：
第一步直接强制访问咱自己设定的iframe.html页面，如果网站禁用了JS跳转，那么执行到这一步就结束了，这样即使他们iframe了咱的网站，看到的只是咱的图片宣传页。
第二步，如果没有禁用JS，那么会接着执行top.location.href=self.location.href; ，然后跳转到我们的网址页面。
目前测试这种方法没什么问题。

[网站] 如何防止自己的网页被别人iframe嵌入