如何防止自己的网页被别人iframe嵌入

happyxp

前面说了如何阻止 iframe里引用的网页自动跳转，已达到iframe页面的目的。
% i. B9 ?, j. }! R这次讲一下如何防止自己的网页被别人iframe。
% ]$ X: C) u0 S
1、这些方法都可行，但不是太可靠。

1. <script language="javascript">
   
2. if( top.location != self.location) top.location.href=self.location.href;
     u7 k/ Z; ?* _% L
3. </script>

复制代码

或

1. <script language="javascript">
   
2. if (top.location != location) top.location.href = location.href;
   ' a# @) C" j* h" |
3. </script>

复制代码

或
+ q' @. T2 j& ]; z2 X

1. <script language="javascript">
   
2. if (top.location != self.location) {top.location=self.location;}
   ; d( u7 N8 K: K2 \
3. </script>

复制代码

或

1. <script language="javascript">
   
2. if (top.frames.length!=0) top.location=self.document.location;
   ' X; c, z0 t4 Z8 Z; g6 v6 l% Y# H6 q
3. </script>

复制代码

不可靠的原因：
+ k! a& C8 a& t当别人用如下类似代码做IFRAME嵌套调用时，就可能躲过你的页面的javascript代码。

1. <iframe src="http://xp6.org/" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv"  framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>
   # l( C+ ~  [# P4 C, A1 R
2. <script language="javascript">
   5 b- [, f2 ~* \! l  b; N  O
3. var location="";
   8 C6 @; `8 {; d4 S' O* q
4. var navigate="";
   : W: W: Y3 T/ E/ `
5. frames[0].location.href="";
   
6. </script>

复制代码

或

1. <iframe src="http://xp6.org/" class="t-iframe" scrolling="no" security="restricted" sandbox="">

复制代码

或

% @+ q$ |! q: s# {$ @/ j

1. <script type="text/javascript" charset="utf-8">
   # g& g' h( n  {$ m3 w- D0 f. ~6 y
2. document.write('<iframe seamless sandbox security="restricted" id="url_mainframe" frameborder="0" scrolling="yes" name="main" src="http://xp6.org/" style="height:100%; visibility: inherit; width: 100%; z-index: 1;overflow: visible;"></iframe>');
   
3. </script>

复制代码

2、代码层次的屏蔽，方法可行，但不是很人性化。
2 ~1 k' c7 m0 [6 m7 ]$ YMeta标签方法
' K- m" g3 O4 W' b8 u% v6 Q" Y

1. <meta http-equiv="X-FRAME-OPTIONS" content="DENY">

复制代码

PHP方法
" O+ Y! L) l0 w2 o" [0 ]# X! F

1. <?php header('X-Frame-Options:Deny'); ?>

复制代码

Apache主机方法

1. Header always append X-Frame-Options SAMEORIGIN

复制代码

Nginx主机方法
& _  I' n7 `0 i" l6 d2 s0 a3 _

1. add_header X-Frame-Options "SAMEORIGIN";

复制代码

.htaccess方法
在网站根目录下的.htaccess文件中中加一句

1. Header append X-FRAME-OPTIONS "SAMEORIGIN"

复制代码

$ s" I3 J6 t( Y, aIIS方法
3 G+ `! j  ^, r$ P6 |! x在web.config文件中加

1. <system.webServer>
   
2.   ...
   
3.   <httpProtocol>
   : H) i( y/ V" a/ o$ @! R
4.     <customHeaders>
   ! ?6 |; |9 {! C* p/ B3 V
5.       <add name="X-Frame-Options" value="SAMEORIGIN" />      
   
6.     </customHeaders>   
   ' h/ t' X7 G6 V/ m
7.   </httpProtocol>  
   0 i9 A; `4 ~+ _, A* d# L' Z( l8 b
8.   ...
   
9. </system.webServer>

复制代码

% B& i7 t" H& v9 X之所以说不人性化，是因为这样操作之后，别人iframe会显示服务器拒绝之类的信息，虽然是屏蔽了，但是自己网站也不能宣传了。
: P# c7 h- A0 u& j# A' w
3、推荐解决方法。
' ]+ U! X1 D3 M% U

1. <script language="javascript">  
   : R& D) P4 |* k9 l( R! [  a: v
2. if(top != self){
   
3.     location.href = "http://xp6.org/iframe.html";  
   
4.     top.location.href=self.location.href;
   7 S8 v% S1 l) N& q: C4 b
5. }  
   ( Z9 A1 u, o- m7 z: `; [
6. </script>

复制代码

将上面的代码复制到需要屏蔽页面<head>里面加载。
+ h5 s$ q: r! N; g; A! M1 ]" k制作一个iframe.html页面里面放张网站宣传图片，加个链接，放到网站根目录。
原理：
6 g% V9 Y* e1 O' A$ V7 R第一步直接强制访问咱自己设定的iframe.html页面，如果网站禁用了JS跳转，那么执行到这一步就结束了，这样即使他们iframe了咱的网站，看到的只是咱的图片宣传页。
0 @! ^. a6 }4 |! ~第二步，如果没有禁用JS，那么会接着执行top.location.href=self.location.href; ，然后跳转到我们的网址页面。
7 f, r% F8 e  U7 h/ Q目前测试这种方法没什么问题。
: _' h% [/ M  F, l7 W: q