clickjacking攻击解决方案

  1. 介绍关于clickjacking:

在网页设计中,我们可能有过这样的想法, 在自己的网页中使用iframe嵌套别人的web page,
然后使用另一个透明的iframe覆盖别人web page的某些按钮, 或者有意义的点击区域, 然后当用户点击的时候, 就可以劫持用户的行为, 窃取用户的信息。

当然如果是我们自己的web page被攻击了肯定是不开心的, 比较推荐的解决方案是使用一个叫做X-FRAME-OPTIONS的http头部,来定义是否允许别人的iframe加载。
这个头有三个值。

DENY // 拒绝任何域加载 SAMEORIGIN // 允许同源域下加载 ALLOW-FROM // 可以定义允许frame加载的页面地址

你可能感兴趣的:(clickjacking攻击解决方案)