X框架選項和框架

Question

我沒有在Apache配置文件中設置X框架選項DENY。

Header always append X-Frame-Options DENY 

我可以看到，服務器響應在標題中包含X-Frame-Options DENY，但頁面上的iframe仍然可見。

我在做什麼錯了？

Answer 1

此選項不被所有瀏覽器支持：

• IE8 +
• 歌劇10.50+
• 的Safari 4+
• 鉻4.1.249.1042+（允許 - 從尚未支持）
• Firefox 3.6.9（或更早的NoScript）

來源：http://blogs.msdn.com/b/ieinternals/archive/2010/03/30/combating-clickjacking-with-x-frame-options.aspx

Answer 2

我已經找到

最好的辦法是設置你的虛擬主機下，如果你使用的Drupal，請確保您的「settings.php文件」有以下添加進去：

$ CONF [」 x_frame_options'] ='';

阿帕奇 - 虛擬主機設置爲您定義的頂部以下（見下文）：

<VirtualHost *:80> 
    DocumentRoot "/var/www/your_site_dir" 

    SetEnvIf Referer "^.*?\.yourdomain\.(com|net)\.au.*?$" NO_X_FRAME_OPTIONS 1 
    Header always unset X-Frame-Options env=NO_X_FRAME_OPTIONS 
    Header set X-Frame-Options "SAMEORIGIN" env=!NO_X_FRAME_OPTIONS 

// Rest of config below... 
</VirtualHost> 

希望這有助於！ PS - 這也適用於所有不受支持的瀏覽器。