Web漏洞之X-Frame-Options未设置

在开发过程中我们很少会注意到X-Frame-Options,说白了这东西就是告诉浏览器你的当前页面是否允许放入到一个iframe中。它有三个值、允许、不允许、允许相同域名下的iframe中显示。
* DENY：浏览器拒绝当前页面加载任何Frame页面
* SAMEORIGIN：frame页面的地址只能为同源域名下的页面
* ALLOW-FROM：origin为允许frame加载的页面地址

解决方案：
Nginx：（亲测好用）

/usr/local/nginx/config/nginx.config 找到’http’, ‘server’ 或者 ‘location’ 加入下面的代码:
add_header X-Frame-Options SAMEORIGIN;
重启nginx

APache:

配置 Apache 在所有页面上发送 X-Frame-Options 响应头，需要把下面这行添加到 ‘site’ 的配置中:
Header always append X-Frame-Options SAMEORIGIN