Насколько полезен заголовок X-Frame-Options для защиты от злонамеренных кадров?

Question

Добавление X-Frame-Options DENY к заголовку ответа помогает защитить от злонамеренного создания веб-страницы, и в качестве решения, безусловно, лучше, чем решения JavaScript на стороне клиента.

Но насколько это полезно?Поддерживается ли всеми (современными) браузерами и может ли это быть обойдено хакерами, намеревающимися захватить ваш сайт?

Answer 1

Страница EricLaw содержит список поддерживаемых браузеров.

Все версии основных браузеров для настольных компьютеров поддерживают его;старые версии и ниша, а некоторые мобильные браузеры - нет.Таким образом, вы, вероятно, захотите включить также анти-кадрирование <script>, чтобы установить top.location (и сначала удалить содержимое страницы в случае удаления фрейма; см. этот вопрос , почему)..

Вы можете предпочесть сценарий подходу X-Frame-Options, если хотите выборочно разрешить кадрирование.X-Frame-Options не разрешает «белые списки», поэтому вы не можете, например, разрешать трафик Google Images, но не разрешаете другие.

В любом случае, IE6-7 все еще позволит злоумышленникам создать фрейм вашей страницы и отключить фрейм-бастер,К сожалению, сомнительный атрибут <iframe security> существовал до X-Frame-Options.Вы можете попытаться добавить <base target="_top">, чтобы попытаться заставить любую навигацию нарушить традиционное кадрирование (или просто не работать, при наличии антиблокировщиков кадров), но это не может помочь вам против атак невидимым-iframe-overlay.