搜索
查看: 14638|回复: 0

[网站] 如何防止自己的网页被别人iframe嵌入

[复制链接]
发表于 2020-11-16 17:30:36 | 显示全部楼层 |阅读模式
前面说了如何阻止 iframe里引用的网页自动跳转,已达到iframe页面的目的。
, c: I! N1 v0 }, l" B这次讲一下如何防止自己的网页被别人iframe。
2 |3 `/ ^4 w! T1 e! L) v% S* |. P. e( _# @/ q" `( b/ @7 j4 ]' e- T1 W5 D! y
1、这些方法都可行,但不是太可靠。
9 z/ J! Y, S! t2 R3 M0 U6 v  [
  1. <script language="javascript">  A4 D4 E( p& U! F. j4 ^8 ~
  2. if( top.location != self.location) top.location.href=self.location.href;2 x- Y) [" x, G! N) l+ \& {
  3. </script>
复制代码
% s0 w" ?* `$ \% X, N1 N& P0 ]
  1. <script language="javascript">) J. q+ R7 D5 j0 k! W' W! S$ o
  2. if (top.location != location) top.location.href = location.href;2 b9 Z4 S. t* J3 p
  3. </script>
复制代码

& C0 u6 K9 A, P- n; q2 N  Z
  1. <script language="javascript">3 l+ S6 l) ~# k: ~
  2. if (top.location != self.location) {top.location=self.location;}
    # R) ?. f$ g' A$ P! d; t( G# g" Z
  3. </script>
复制代码
, S8 ?; U; H# E8 ?
  1. <script language="javascript">; I8 N$ j5 w6 U/ [+ h
  2. if (top.frames.length!=0) top.location=self.document.location;
    ) M! v0 A0 |- D9 f; Q' q1 w
  3. </script>
复制代码
不可靠的原因:. g% p! [" y. c& F
当别人用如下类似代码做IFRAME嵌套调用时,就可能躲过你的页面的javascript代码。
6 Q2 R4 s! K' ~
  1. <iframe src="http://xp6.org/" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv"  framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>
    2 H) t1 t" m" E, C: b8 e+ h
  2. <script language="javascript"> : ]# K, p) K0 p3 k. a/ j
  3. var location="";
    % ]9 y  |6 j) T! R! n& s0 v  Z
  4. var navigate="";
    + Q$ z/ e2 d4 z: R
  5. frames[0].location.href="";
    1 s' u* r! \# P5 q, J7 f6 c
  6. </script>
复制代码
9 x8 N3 y) }4 C. L3 y' \3 g9 L0 l
  1. <iframe src="http://xp6.org/" class="t-iframe" scrolling="no" security="restricted" sandbox="">
复制代码

  ^* j: b, |6 T1 t/ V. i  d1 w7 s+ w
  1. <script type="text/javascript" charset="utf-8">
    & S" g; c) Z& w
  2. document.write('<iframe seamless sandbox security="restricted" id="url_mainframe" frameborder="0" scrolling="yes" name="main" src="http://xp6.org/" style="height:100%; visibility: inherit; width: 100%; z-index: 1;overflow: visible;"></iframe>');8 }+ R2 O: x- B) H+ M" K) [) o' o' L. c
  3. </script>
复制代码
2、代码层次的屏蔽,方法可行,但不是很人性化。& q8 `, o: W# z' F
Meta标签方法/ ?9 Y* ?8 h2 i# ^1 I
  1. <meta http-equiv="X-FRAME-OPTIONS" content="DENY">
复制代码
PHP方法
$ B$ b1 }5 B' g2 S1 B* ?0 V5 l/ i) _
  1. <?php header('X-Frame-Options:Deny'); ?>
复制代码
Apache主机方法
8 `( g/ {$ I0 d5 |8 C- {; l% M; u
  1. Header always append X-Frame-Options SAMEORIGIN
复制代码
Nginx主机方法& F9 O! F; K( d; {& g! j
  1. add_header X-Frame-Options "SAMEORIGIN";
复制代码
6 E8 d. @4 B- }9 K6 U( i
.htaccess方法0 ^! m3 r# K$ X* V; |& t
在网站根目录下的.htaccess文件中中加一句
( I( Y) Q2 x" N# z. E& ?, c6 v
  1. Header append X-FRAME-OPTIONS "SAMEORIGIN"
复制代码
# L  v2 H8 O- F  V; x, C
IIS方法  G+ i; e  V$ O2 W4 V
在web.config文件中加
  1. <system.webServer>4 S# \) t) T' }' L. X
  2.   ...& d* E4 |! W6 k+ B8 D6 q
  3.   <httpProtocol>
    5 K/ I: z/ n: L2 t# o
  4.     <customHeaders>' y) G2 \: v$ B, W( l' E
  5.       <add name="X-Frame-Options" value="SAMEORIGIN" />      
    0 U. A; J) f9 F  t7 {
  6.     </customHeaders>   
    ! V" @/ a5 e2 @+ M: V# t7 K
  7.   </httpProtocol>  
    4 F( A5 i2 w% p" a: z7 o* V8 \
  8.   ...
    & H3 Q, Q$ G* k( ]4 R
  9. </system.webServer>
复制代码

1 G+ e4 {4 j1 T1 i之所以说不人性化,是因为这样操作之后,别人iframe会显示服务器拒绝之类的信息,虽然是屏蔽了,但是自己网站也不能宣传了。
; W, `4 v8 B8 D: _( n/ W+ t! I* Y. J6 ]2 y% A5 n
3、推荐解决方法。  b9 V* D: l. d- Q( |% v' w; {4 I
  1. <script language="javascript">    \# c3 S) p7 A( e7 t6 N  h1 G
  2. if(top != self){
    1 e5 d; b0 Y7 N: V; p
  3.     location.href = "http://xp6.org/iframe.html";  8 x$ N4 g9 `; ?  l+ }" r% Q
  4.     top.location.href=self.location.href;7 d/ X) _9 x4 j' q, m
  5. }  ' U' ^* n" s, t
  6. </script>
复制代码

' O1 W+ b4 Z/ L: N8 k6 A" D8 H将上面的代码复制到需要屏蔽页面<head>里面加载。. U. N/ T+ s1 [6 N. l# |
制作一个iframe.html页面里面放张网站宣传图片,加个链接,放到网站根目录。
% \8 x: M% v; ?) }3 `原理:( K& l$ s* L6 j  @; T' v
第一步直接强制访问咱自己设定的iframe.html页面,如果网站禁用了JS跳转,那么执行到这一步就结束了,这样即使他们iframe了咱的网站,看到的只是咱的图片宣传页。
# o- s2 r" \) [0 t* ^; J第二步,如果没有禁用JS,那么会接着执行top.location.href=self.location.href; ,然后跳转到我们的网址页面。3 B" K$ h8 f3 c$ Q! f
目前测试这种方法没什么问题。
) l. y! n1 \/ p- Q
# D) O4 d( X. l& ?/ X
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 注册帐号

本版积分规则

热议作品
精华帖子排行
精彩推荐

虾皮社区,成立十年了!

站长自己也搞不懂想做个什么,反正就是一直在努力的做!

Copyright © 2007-2019 xp6.org Powered by Discuz

QQ|Archiver|手机版|小黑屋|虾皮社区 鲁公网安备 37021102000261号 |网站地图
返回顶部 返回列表