从Clickjacking攻防文中学习到了很多,但是在业务上解决遇到一点问题。
lemon.i还会使用到lemon.v来实现一些功能,如何在主流浏览器(Firefox、Chrome、Ie、Safari)上达到防御效果?
Clickjack
防御
js防御
frame bust:
具有局限性,对于业务有其他调用是会出现问题。
X-Frame-Options
DENY:禁止iframe
SAMEORIGIN:只允许相同域名下的网页iframe,同源政策保护
ALLOW-FROM: https://example.com:白名单限制
但这个缺陷就是chrome、Safari是不支持ALLOW-FROM
语法!
phpcode
header("X-Frame-Options: allow-from http://lemon.v");
注意在IE下allow-from
设置需要定义协议等较为严格的限定.
frame-ancestors、frame-src
https://cloud.tencent.com/developer/section/1189865
frame-ancestors影响以下标签: ,
需要注意的是: 此指令在元素或Content-Security-policy-Report-Only标题字段中不受支持
语法:
Content-Security-Policy: frame-ancestors
frame-src影响以下标签: ,
,语法与frame-ancestors
类似
phpcode
header("Content-Security-Policy: frame-ancestors lemon.v; frame-src lemon.v;");
当frame-src
、frame-ancestors
都存在的时候,会忽略frame-src
当时这个的缺陷就是IE不支持CSP!
结合使用
在chrome、firefox下,会因为frame-ancestors
指令,忽略X-Frame-Options
的设置
IE本身不支持CSP,所以只受X-Frame-Options
影响
所以可以综合使用
header('X-Frame-Options: allow-from http://lemon.v');
header("Content-Security-Policy: frame-ancestors lemon.v; frame-src lemon.v;");
这样解决了一种情况:
业务还存在跨域的lemon.v去iframe,在测试的浏览器中能够达到想要的效果(有些版本未测试,可能有偏差).
另外探索了一下综合使用会出现的问题:
header('X-Frame-Options: deny');
header("Content-Security-Policy: frame-ancestors lemon.v; frame-src lemon.v;");
Safari支持CSP,但X-Frame-Options
设置为deny
,会受到它的影响,从而覆盖了frame-ancestors
的设置