X-Frame-Options 有什麼作用？

HTTP 標頭是一種與 Web 請求和響應一起發送的元數據，它們提供的信息可能很重要，也可能只是提供信息。安全標頭是可以由 Web 服務器設置的“響應標頭”的子集，它們是可以幫助解決許多安全問題的功能之一。其中一個名為“X-Frame-Options”的安全標頭旨在防止點擊劫持攻擊。

點擊劫持

點擊劫持，也稱為“用戶界面修復”，是一個攻擊者能夠誘使用戶點擊與表面看起來不一樣的內容的問題。對於網站，這是通過將透明網站覆蓋在可見網站上來完成的。在這種類型的攻擊中，用戶認為他們正在與可見網站進行交互，但實際上，他們在不知不覺中影響了透明網站。

例如，攻擊者可以建立一個網站，使用戶有可能點擊一個按鈕，可能是視頻的播放按鈕。在該網頁頂部的透明層中是第二個網頁，例如刪除您的 Facebook 帳戶的網頁，“刪除帳戶”按鈕位於播放按鈕正上方。在這種情況下，當用戶嘗試單擊播放時，他們實際上是單擊按鈕刪除了他們的 Facebook 帳戶。

點擊劫持依賴於通過稱為“框架”的過程在虛擬網站頂部顯示目標網站的能力。框架使用 HTML 元素“iframe”，它可以在另一個頁面中加載整個單獨的網頁。通過將目標網頁加載到框架中，仔細定位並使其透明，受害者將完全不知道他們被誘騙執行某個操作。

X-Frame-Options

HTTP 響應頭“X-Frame-Options”是一個可選功能，可以在服務器配置文件中為網站設置。X-Frame-Options 可防止網頁加載到 iframe 中，從而防止其覆蓋在另一個網站上。受害者的瀏覽器實際上應用了安全控制，這是因為所有瀏覽器都尊重 X-Frame-Options 標頭，並且將拒絕加載任何在框架中設置標頭的網頁。

標題允許網站所有者配置設置的限製程度。有兩種設置： “X-Frame-Options: DENY” 防止受保護的網頁被加框。另一個選項“X-Frame-Options: SAMEORIGIN”允許對受保護的網頁進行框架化，前提是加載框架的頁面具有相同的域名。在這種情況下，您可以在自己的網站上加載框架，但其他人無法將其加載到他們的網站上。