http响应头中X-Frame-Options的作用及危害

目标服务器没有返回一个X-Frame-Options头。

攻击者可以使用一个透明的、不可见的iframe，覆盖在目标网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击iframe页面的一些功能性按钮上，导致被劫持。

添加X-frame-options响应头。

赋值有如下三种：

（1）DENY：不能被嵌入到任何iframe或frame中。

（2）SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中。

（3）ALLOW-FROM uri：只能被嵌入到指定域名的框架中。

我用的是拦截器

import javax.servlet.*;
import java.io.IOException;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;/*** 拦截器-配置响应头部 X-Frame-Options* @author potato* @date 2021/9/8 11:04*/
@WebFilter(filterName = "frameFilter", urlPatterns = "/*")
public class FrameConfig implements Filter {public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {//必须HttpServletRequest request = (HttpServletRequest) req;HttpServletResponse response = (HttpServletResponse) res;//实际设置response.setHeader("X-Frame-Options", "SAMEORIGIN");
//        response.setHeader("X-Frame-Options", "DENY");//调用下一个过滤器（这是过滤器工作原理，不用动）chain.doFilter(request, response);}public void init(FilterConfig config) throws ServletException {}public void destroy() {}
}

http响应头中X-Frame-Options的作用及危害相关推荐

取出响应头中包含多个set-cookie的值
//得到响应头中返回的所有信息,以key-value的形式保存 Map<String, List<String>> heads = httpURLConnection.getH ...
nginx/tengine设置响应头中的cookie属性
修改cookie属性: 版本一: header_filter_by_lua 'local cookies = ngx.header.set_cookieif cookies thenif type(c ...
响应头中content-type常用的类型有哪些？
响应头中content-type常用的类型有哪些? (记住) 1.文本类型 text/plain 2.html类型 text/html 3.css类型 text/css 4.js类型 applicat ...
http请求头中Referer的含义和作用
http请求头中Referer的含义和作用别人写好了,链接过去看看吧,出门左转. 记得房号不迷路 02房 01房三人行必有我师焉,其实两人行也有我师焉--
理解http响应头中的Date和Age
Date:Date头域表示消息发送的时间,时间的描述格式由rfc822定义.例如,Date: Mon, 04 Jul 2011 05:53:36 GMT. Age:当代理服务器用自己缓存的实体去响应请 ...
php accesscontrolalloworigin,php – Access-Control-Allow-Origin没有显示在codeigniter的响应头中...
我的Codeigniter文件说 $CI->output->set_header("Access-Control-Allow-Origin: *"); $CI-> ...
java 标注 json_java – 注释资源以生成JSON,但在响应头中返回“text/plain”
嗯,你指的链接说只有REQUESTS才是真的. 因此,您只能接受纯文本,但可以随意生成您想要的内容. 编辑尝试使用类似的代码注册自定义responsefilter(也许你已经做过了吗?): @Prov ...
怎么隐藏响应头中的server和X-Powered-By？
根据自己的服务器来解决回答这个问题: 去除server中的详细信息: apache: 找到你的配置文件http.conf 找到下面两个参数后按照下面修改: ServerSignature Off Se ...
SpringBoot2.3 修改响应头、添加更新token、解决在过滤器中修改失败
前言使用Spring Boot开发项目的过程中,难免会遇到向响应头中写入一些信息,例如更新了的token,用户详情等信息.在请求头中添加,请求时就可以通过过滤器,拦截器等验证或者获得请求头传递的信息 ...

http响应头中X-Frame-Options的作用及危害

http响应头中X-Frame-Options的作用及危害相关推荐

最新文章

热门文章