Apache Tomcat配置点击劫持

在项目配置web.xml里添加配置

<filter>        <filter-name>httpHeaderSecurity</filter-name>        <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>        <init-param>            <param-name>antiClickJackingOption</param-name>            <param-value>SAMEORIGIN</param-value>        </init-param>        <async-supported>true</async-supported>    </filter>    <filter-mapping>        <filter-name>httpHeaderSecurity</filter-name>        <url-pattern>/*</url-pattern>    <dispatcher>REQUEST</dispatcher>    <dispatcher>FORWARD</dispatcher>    </filter-mapping>

antiClickJackingOption 有三个值:

DENY
表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。
SAMEORIGIN
表示该页面可以在相同域名页面的 frame 中展示。
ALLOW-FROM uri
表示该页面可以在指定来源的 frame 中展示。