如何防止自己的网页被别人iframe嵌入

happyxp · 发表于 2020-11-16 17:30:36

前面说了如何阻止 iframe里引用的网页自动跳转，已达到iframe页面的目的。
这次讲一下如何防止自己的网页被别人iframe。

1、这些方法都可行，但不是太可靠。

<script language="javascript">
" A7 V6 R! x% x, G
if( top.location != self.location) top.location.href=self.location.href;6 m" ]7 c- L2 z
</script>

复制代码

或

<script language="javascript">
$ k! |3 V& P& u
if (top.location != location) top.location.href = location.href;! p; C: t* E0 \7 X" v
</script>

复制代码

或

<script language="javascript">7 a. ?5 j* H3 J; r/ r" x# h* \
if (top.location != self.location) {top.location=self.location;}
9 A6 V, H" A; m0 Q2 z) `" }2 q: c
</script>

复制代码

或

<script language="javascript">( {* d5 c( j# j; R! ^" `
if (top.frames.length!=0) top.location=self.document.location;
* e2 s A/ w- q, M( O
</script>

复制代码

不可靠的原因：
当别人用如下类似代码做IFRAME嵌套调用时，就可能躲过你的页面的javascript代码。

<iframe src="http://xp6.org/" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv" framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>- ?( S% ?7 H% T, R9 Z8 r
<script language="javascript"> 4 W% V) r$ b! I
var location="";6 x- [0 {& c1 H5 v% a& E
var navigate="";
0 m) {* s1 N" V, T I0 B% f
frames[0].location.href="";1 k3 p9 B8 ]4 l3 W
</script>

复制代码

或

<iframe src="http://xp6.org/" class="t-iframe" scrolling="no" security="restricted" sandbox="">

复制代码

或

<script type="text/javascript" charset="utf-8">
3 z! {9 r2 ]! E; z
document.write('<iframe seamless sandbox security="restricted" id="url_mainframe" frameborder="0" scrolling="yes" name="main" src="http://xp6.org/" style="height:100%; visibility: inherit; width: 100%; z-index: 1;overflow: visible;"></iframe>');
& ?$ O( ~ r' v
</script>

复制代码

2、代码层次的屏蔽，方法可行，但不是很人性化。
Meta标签方法

<meta http-equiv="X-FRAME-OPTIONS" content="DENY">

复制代码

PHP方法

<?php header('X-Frame-Options:Deny'); ?>

复制代码

Apache主机方法

Header always append X-Frame-Options SAMEORIGIN

复制代码

Nginx主机方法

add_header X-Frame-Options "SAMEORIGIN";

复制代码

.htaccess方法
在网站根目录下的.htaccess文件中中加一句

Header append X-FRAME-OPTIONS "SAMEORIGIN"

复制代码

IIS方法
在web.config文件中加

<system.webServer>3 v4 B0 b& q3 ]) {& D7 h1 N
...
& a- `1 w- b3 f u6 j7 m, A
<httpProtocol>
9 @( T: J& p* T% V! C; ^# l7 f
<customHeaders>
6 H" f: s+ E% i. t& A P" D3 ~0 @+ O
<add name="X-Frame-Options" value="SAMEORIGIN" />
2 x% ^% `/ p$ V" y
</customHeaders>
/ d3 L- w) n* y" `' Y7 S. Q4 F
</httpProtocol>
! h6 u" `( r |
..., ~3 }# C" f, Q* l8 \
</system.webServer>

复制代码

之所以说不人性化，是因为这样操作之后，别人iframe会显示服务器拒绝之类的信息，虽然是屏蔽了，但是自己网站也不能宣传了。

3、推荐解决方法。

<script language="javascript"> 1 G. M' N0 I6 a5 s3 ~
if(top != self){
% K% C- ?8 e# S: X
location.href = "http://xp6.org/iframe.html"; ) e6 e/ Z9 B/ H0 h; N: e! N/ I, a& F3 w
top.location.href=self.location.href;! F7 H4 N1 D) Z" U. b R8 Q' v% ^1 g; m
}
: i6 M0 b4 j2 e5 L5 K
</script>

复制代码

将上面的代码复制到需要屏蔽页面<head>里面加载。
制作一个iframe.html页面里面放张网站宣传图片，加个链接，放到网站根目录。
原理：
第一步直接强制访问咱自己设定的iframe.html页面，如果网站禁用了JS跳转，那么执行到这一步就结束了，这样即使他们iframe了咱的网站，看到的只是咱的图片宣传页。
第二步，如果没有禁用JS，那么会接着执行top.location.href=self.location.href; ，然后跳转到我们的网址页面。
目前测试这种方法没什么问题。

[网站] 如何防止自己的网页被别人iframe嵌入