nginx设置X-Frame-Options 响应头的两种方法

发布时间:2018-03-16作者:老孙阅读(1277)

nginx设置X-Frame-Options

360网站安全提示"X-Frame-Options头未设置,X-Frame-Options HTTP响应头是用来确认是否浏览器可以在frame或iframe标签中渲染一个页面,网站可以用这个头来保证他们的内容不会被嵌入到其它网站中,以来避免点击劫持。

    我们先来认识一下X-Frame-Options 响应头到底是个什么定西

    X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页面可否在 frame, iframe 或者 object 中展现的标记。网站可以使用此功能,来确保自己网站的内容没有被嵌到别人的网站中去,也从而避免了点击劫持 (clickjacking) 的攻击。

    X-Frame-Options 有三个值:

    DENY

    表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许。

    SAMEORIGIN

    表示该页面可以在相同域名页面的 frame 中展示。

    ALLOW-FROM uri

    表示该页面可以在指定来源的 frame 中展示。

    换一句话说,如果设置为 DENY,不光在别人的网站 frame 嵌入时会无法加载,在同域名页面中同样会无法加载。另一方面,如果设置为 SAMEORIGIN,那么页面就可以在同域名页面的 frame 中嵌套。


    闲着没事干,找360网站安全那有个漏洞检测,经过检测发现了这个漏洞,其实看表面就知道是针对frame的了。

    那么如何设置这个呢,网上也有一些说明,下边我就说一下nginx如何设置吧,至于其他的apache、iis 等自己去网上查询吧,我这边也没法测试,所以就不发布了。

    言归正传

    nginx分别通过http和server设置 X-Frame-Options ,防止网站被别人用iframe嵌入使用。需要说明的是,只需用其中一个方法即可,在http配置代码块或server配置代码块里设置。

    在http配置里设置X-Frame-Options

    找到安装目录 /usr/local/nginx/conf 里,打开nginx.conf。记住是编辑,vim/vi 别使用cat

    然后在http配置代码块里某一行添加如下语句即可:

    add_header X-Frame-Options SAMEORIGIN;

    nginx nginx.config


    添加成功后,重载一下nginx使其立马成效

    /usr/local/nginx/sbin/nginx -s reload

    在server配置里设置X-Frame-Options

    在server配置里设置X-Frame-Options跟在http配置里设置X-Frame-Options方法是一样的,同样是在server的配置代码块里添加如下语句即可:

    nginx 配置

0 +1

版权声明

 linux  安全  nginx

 请文明留言

0 条评论