X-Frame-Options未设置或者缺失的解决办法大全 使用 X-Frame-Options节 -\USDi(  
X-Frame-Options 有三个值: %wXjP`#  
DENY表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。SAMEORIGIN表示该页面可以在相同域名页面的 frame 中展示。ALLOW-FROM uri表示该页面可以在指定来源的 frame 中展示。 '7}2}KD  
换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。 Cn{v\Q~.4
 
配置 Apache节 pY[b[ezb  
配置 Apache 在所有页面上发送 X-Frame-Options 响应头，需要把下面这行添加到 'site' 的配置中: ,(-V<>/*.|  
Header always append X-Frame-Options SAMEORIGIN xAl8e  
复制代码 QVJpX;u  
EADN   
配置 nginx节 b !y  
配置 nginx 发送 X-Frame-Options 响应头，把下面这行添加到 'http', 'server' 或者 'location' 的配置中: 
C7G,M  
add_header X-Frame-Options SAMEORIGIN; 1pg#@h[|t  
复制代码 X(eW+,H  
z?Ok'LX  
配置 IIS节 DQ3L=  
配置 IIS 发送 X-Frame-Options 响应头，添加下面的配置到 Web.config 文件中: n?$c"}  
<system.webServer> #;~HoOK*#  
  ... U]gUGD!5x  
'tw
]jMD  
  <httpProtocol> ^\Z+Xq1~/  
    <customHeaders> 2C}Yvfm4  
      <add name="X-Frame-Options" value="SAMEORIGIN" /> gSw4\R  
    </customHeaders> ZLxa|R7  
  </httpProtocol> -e}(\  
HUD0 @HQI  
  ... !L9OJ1F  
</system.webServer> cQuL9Xo  
复制代码

发现项目中存在 X-Frame-Options 低危漏洞： XY#.?<"Q8  
y
d=b!\}WJ  
使用 X-Frame-OptionsEDIT E>+>!On)b  
X-Frame-Options 有三个值: 6?'7`p  
eR0$CTSw  
DENY /,`OF/%  
表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。 Z?xRSi2~7  
SAMEORIGIN l0C`teO  
表示该页面可以在相同域名页面的 frame 中展示。 )2_[Ww|.  
ALLOW-FROM uri W.NZ%~|+e/  
表示该页面可以在指定来源的 frame 中展示。 A; wT`c  
m7DKC,  
'qvj[lpGr  
换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。 BlQX$s]  
4Y$\QZO  
另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。 (|F.3~Amq  
- Z`RKR8C  
Z`u$#<ukX  
eIfQ TV  
vaGF(hfTA  
;}j(x;
l>t  
配置 Apache r34MDUZdI  
配置 Apache 在所有页面上发送 X-Frame-Options 响应头，需要把下面这行添加到 'site' 的配置中: "X8jpg  
[IQ|c?DxpL  
Header always append X-Frame-Options SAMEORIGIN 0=#>w_B  

]Ob|!L(  
4uo`XJuQ  
配置 nginx 6oNcj_?7?q  
配置 nginx 发送 X-Frame-Options 响应头，把下面这行添加到 'http', 'server' 或者 'location' 的配置中: {VE h@yn  
CMaph  
add_header X-Frame-Options SAMEORIGIN; m&Mupl  
b1.*cIv}  
12KC4,C&1i  
配置 IIS /v8Q17O?e  
配置 IIS 发送 X-Frame-Options 响应头，添加下面的配置到 Web.config 文件中: a+E&{pV  
 ir6' \  
复制代码 )rD!4"8/A  
<system.webServer> fI613ww]  
  ... 6'r8.~O  
~ELMLwn.  
  <httpProtocol> ] 3"t]U'f  
    <customHeaders> "6$V1B0KW  
      <add name="X-Frame-Options" value="SAMEORIGIN" /> hj [77EEz  
    </customHeaders> udZOg  
  </httpProtocol> -3EQ
RqVg  
[1VA`:?W  
  ... {r,Uik-nL  
</system.webServer> $J`O-"M  
复制代码 Wwq:\C  
)/H;5 cn  
Gk,Bx1y  
配置 TOMCAT L
L^KZ-  
“点击劫持：X-Frame-Options未配置” 94u{k1d x  
ti\ ${C3  
　　　　因为项目使用的是tomcat服务器，我们不可能在每个页面去添加： J D\tt-  
'cW^S7  
　　　　　　 ,fkvvM{mq  
Xwm3# o.&)  
response.addHeader("x-frame-options","SAMEORIGIN"); hi
7_jl6  
　　 @I_cwUO  
_bFUr  
+)Z]<O  
CVj^{||eF  
　　　　因此我们使用过滤器，代码如下： TR"C<&y$j  
t un}rdb  
dGIdSQ~ _  
'%N?r,x C  
  HttpServletResponse response = (HttpServletResponse) sResponse; jkAjYR.  
  response.addHeader("x-frame-options","SAMEORIGIN");