关于 tomcat 与X-Frame-Options

公司项目 漏洞修复 有一条 “点击劫持：X-Frame-Options未配置”，在网上查了很多资料 基本上都是下面的内容

使用 X-Frame-Options 有三个可选的值：

1. DENY：浏览器拒绝当前页面加载任何Frame页面
2. SAMEORIGIN：frame页面的地址只能为同源域名下的页面
3. ALLOW-FROM：origin为允许frame加载的页面地址

Apache配置：

Header always append X-Frame-Options SAMEORIGIN

nginx配置：

add_header X-Frame-Options SAMEORIGIN;

IIS配置：

1. <system.webServer>
2. ...
3.  
4. <httpProtocol>
5. <customHeaders>
6. <addname="X-Frame-Options"value="SAMEORIGIN"/>
7. </customHeaders>
8. </httpProtocol>
9.  
10. ...
11. </system.webServer>

公司项目是只用了tomcat作为web服务器 ,网上搜的的内容好像并不符合我的要求。

本来的想法是在每个jsp页面中加

<%
  response.addHeader("x-frame-options","SAMEORIGIN");
 
   %>

可后来想想这种方法太蠢，万一过不了测试还要改过来。

于是又想到了一个方法，在项目原本的过滤器中加了如下代码

HttpServletResponse response = (HttpServletResponse) sResponse;
  response.addHeader("x-frame-options","SAMEORIGIN"); 

貌似起了作用  等待客户测试吧！