如何防止自己的网页被别人iframe嵌入

happyxp · 发表于 2020-11-16 17:30:36

前面说了如何阻止 iframe里引用的网页自动跳转，已达到iframe页面的目的。
这次讲一下如何防止自己的网页被别人iframe。

1、这些方法都可行，但不是太可靠。

<script language="javascript">% {) P0 P; ^; J6 h- t( w) v' j
if( top.location != self.location) top.location.href=self.location.href;6 a) b8 j, U# r: F2 K* e- e, |
</script>

复制代码

或

<script language="javascript">
% {% j2 n2 I7 Z7 Z2 e( ^8 K
if (top.location != location) top.location.href = location.href;/ S# }6 Z" G3 C! C' g$ {' @
</script>

复制代码

或

<script language="javascript">9 Z3 P+ z* F* H* K a& h! @4 L
if (top.location != self.location) {top.location=self.location;}
4 u* b6 b) |( U2 }+ T
</script>

复制代码

或

<script language="javascript">
! o* E7 E1 g% U$ t+ H& U
if (top.frames.length!=0) top.location=self.document.location;8 |' T% }4 A6 J' `" b
</script>

复制代码

不可靠的原因：
当别人用如下类似代码做IFRAME嵌套调用时，就可能躲过你的页面的javascript代码。

<iframe src="http://xp6.org/" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv" framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>. A+ ]4 D7 |( m3 F* `% x
<script language="javascript"> 5 z& |' k' N& }" }
var location="";
( C5 R2 n3 M9 U- G1 |
var navigate="";4 u2 F& F' c# n7 j! g6 J: G
frames[0].location.href="";
6 m8 |3 B2 V# ~# W
</script>

复制代码

或

<iframe src="http://xp6.org/" class="t-iframe" scrolling="no" security="restricted" sandbox="">

复制代码

或

<script type="text/javascript" charset="utf-8">! V5 o- H, K* t# {
document.write('<iframe seamless sandbox security="restricted" id="url_mainframe" frameborder="0" scrolling="yes" name="main" src="http://xp6.org/" style="height:100%; visibility: inherit; width: 100%; z-index: 1;overflow: visible;"></iframe>');
) k8 I9 [6 q6 E1 |
</script>

复制代码

2、代码层次的屏蔽，方法可行，但不是很人性化。
Meta标签方法

<meta http-equiv="X-FRAME-OPTIONS" content="DENY">

复制代码

PHP方法

<?php header('X-Frame-Options:Deny'); ?>

复制代码

Apache主机方法

Header always append X-Frame-Options SAMEORIGIN

复制代码

Nginx主机方法

add_header X-Frame-Options "SAMEORIGIN";

复制代码

.htaccess方法
在网站根目录下的.htaccess文件中中加一句

Header append X-FRAME-OPTIONS "SAMEORIGIN"

复制代码

IIS方法
在web.config文件中加

<system.webServer>
( x7 F4 l. ?6 C
...- H- a/ q7 b$ w9 Y, @3 W
<httpProtocol>3 I, u$ l! v! u9 y7 w, S$ b/ H4 k$ l4 O
<customHeaders>
4 k0 P- Y/ J& s5 N. Q* H, H+ s1 h: }4 ~
<add name="X-Frame-Options" value="SAMEORIGIN" />
C/ ~6 ]! }+ f! _8 j
</customHeaders> ' z3 Q! {" z( k; C; L) _
</httpProtocol>
1 V3 V5 H! u- d8 \' e+ R
...
5 d4 f0 z. h9 I% I" R2 Z+ q; S A0 F
</system.webServer>

复制代码

之所以说不人性化，是因为这样操作之后，别人iframe会显示服务器拒绝之类的信息，虽然是屏蔽了，但是自己网站也不能宣传了。

3、推荐解决方法。

<script language="javascript">
& t o* Q) @/ r9 {# ]- d$ j* H+ z) b
if(top != self){
/ T) H$ G1 y0 q* T' w* a
location.href = "http://xp6.org/iframe.html"; 3 V3 H( d0 m# ?
top.location.href=self.location.href;
$ c( s/ J; n4 f: ~4 ]
}
L2 B Y; b# E3 Y7 q
</script>

复制代码

将上面的代码复制到需要屏蔽页面<head>里面加载。
制作一个iframe.html页面里面放张网站宣传图片，加个链接，放到网站根目录。
原理：
第一步直接强制访问咱自己设定的iframe.html页面，如果网站禁用了JS跳转，那么执行到这一步就结束了，这样即使他们iframe了咱的网站，看到的只是咱的图片宣传页。
第二步，如果没有禁用JS，那么会接着执行top.location.href=self.location.href; ，然后跳转到我们的网址页面。
目前测试这种方法没什么问题。

[网站] 如何防止自己的网页被别人iframe嵌入