如何防止自己的网页被别人iframe嵌入

happyxp · 发表于 2020-11-16 17:30:36

前面说了如何阻止 iframe里引用的网页自动跳转，已达到iframe页面的目的。
这次讲一下如何防止自己的网页被别人iframe。

1、这些方法都可行，但不是太可靠。

<script language="javascript">
9 V4 \- B5 h' \8 [0 i% @
if( top.location != self.location) top.location.href=self.location.href;9 k1 `% ?' Y6 B- r3 ^ a
</script>

复制代码

或

<script language="javascript">) w: Y/ a% b9 {8 P' w2 V
if (top.location != location) top.location.href = location.href;# A9 x- ]7 k2 p
</script>

复制代码

或

<script language="javascript">9 i1 N1 f) d$ J2 E+ m! k
if (top.location != self.location) {top.location=self.location;}0 b5 d1 E0 @6 Q4 _: K7 w
</script>

复制代码

或

<script language="javascript">
* S+ [# _8 }7 ^/ |
if (top.frames.length!=0) top.location=self.document.location;) B" S9 Z- S. v6 W+ y: e5 W! p
</script>

复制代码

不可靠的原因：
当别人用如下类似代码做IFRAME嵌套调用时，就可能躲过你的页面的javascript代码。

<iframe src="http://xp6.org/" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv" framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>$ ` V+ q6 m" v+ U
<script language="javascript">
6 U. H/ T0 {. o# I* B
var location="";5 `8 G/ l1 v8 @ C
var navigate="";
/ E9 B5 h' E9 g8 H3 ~. `( j( f
frames[0].location.href="";$ `, V2 ^0 P5 J7 O$ l9 V
</script>

复制代码

或

<iframe src="http://xp6.org/" class="t-iframe" scrolling="no" security="restricted" sandbox="">

复制代码

或

<script type="text/javascript" charset="utf-8">
( C+ I8 S1 G7 A
document.write('<iframe seamless sandbox security="restricted" id="url_mainframe" frameborder="0" scrolling="yes" name="main" src="http://xp6.org/" style="height:100%; visibility: inherit; width: 100%; z-index: 1;overflow: visible;"></iframe>');
5 H+ E" L( [. v( I# k) X w
</script>

复制代码

2、代码层次的屏蔽，方法可行，但不是很人性化。
Meta标签方法

<meta http-equiv="X-FRAME-OPTIONS" content="DENY">

复制代码

PHP方法

<?php header('X-Frame-Options:Deny'); ?>

复制代码

Apache主机方法

Header always append X-Frame-Options SAMEORIGIN

复制代码

Nginx主机方法

add_header X-Frame-Options "SAMEORIGIN";

复制代码

.htaccess方法
在网站根目录下的.htaccess文件中中加一句

Header append X-FRAME-OPTIONS "SAMEORIGIN"

复制代码

IIS方法
在web.config文件中加

<system.webServer>* m' x4 c% v% o' e5 H
...4 n) D( T6 T1 T6 t) l" X! o3 O
<httpProtocol>
! y: j \3 f/ O. `7 s- S
<customHeaders>
( k% k4 p: \( P: m/ M6 _8 O& @
<add name="X-Frame-Options" value="SAMEORIGIN" />
; |! O0 X- h. m+ w! Q+ q' T3 Z
</customHeaders>
+ T J+ I2 D/ M; \, H' J2 R; P: m
</httpProtocol> + |/ F* T' n! @. n9 }: ~: c
...6 V5 n" d% K' Z4 e8 h; O' x
</system.webServer>

复制代码

之所以说不人性化，是因为这样操作之后，别人iframe会显示服务器拒绝之类的信息，虽然是屏蔽了，但是自己网站也不能宣传了。

3、推荐解决方法。

<script language="javascript">
4 h9 E5 O d8 _0 k1 R0 C& }
if(top != self){/ e9 O0 j$ n( H0 H# x5 y5 v; |! j9 t
location.href = "http://xp6.org/iframe.html"; . F" B' W7 m* E5 i- T
top.location.href=self.location.href;
0 n/ Z7 [2 A: \
} * y0 I6 N- d# O8 C# N! F) B
</script>

复制代码

将上面的代码复制到需要屏蔽页面<head>里面加载。
制作一个iframe.html页面里面放张网站宣传图片，加个链接，放到网站根目录。
原理：
第一步直接强制访问咱自己设定的iframe.html页面，如果网站禁用了JS跳转，那么执行到这一步就结束了，这样即使他们iframe了咱的网站，看到的只是咱的图片宣传页。
第二步，如果没有禁用JS，那么会接着执行top.location.href=self.location.href; ，然后跳转到我们的网址页面。
目前测试这种方法没什么问题。

[网站] 如何防止自己的网页被别人iframe嵌入