java xframeoptions,Header:X-Frame-Options开启与关闭方法

旧城等待， 2023-01-13 09:17 734阅读 0赞

X-Frame-Options头主要是为了防止站点被别人劫持,iframe引入

一、nginx配置形式:

add\_header X-Frame-Options ALLOWALL; \#允许所有域名iframe

add\_header X-Frame-Options DENY; \#不允许任何域名iframe,包括相同的域名

add\_header X-Frame-Options SANEORIGIN; \#允许相同域名iframe,如a.test.com允许b.test.com

add\_header X-Frame-Options ALLOW-FROM uri; \#允许指定域名iframe,

配置可以放入到nginx的 http 或者 server 中

实例:

![6f24162ec93644626f45dddea8a2998f.png][]

二、通过EnableWebSecurity配置

X-Frame-Options 有三个值:

DENY

表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

SAMEORIGIN

表示该页面可以在相同域名页面的 frame 中展示。

ALLOW-FROM uri

表示该页面可以在指定来源的 frame 中展示。

spring boot支持EnableWebSecurity 这个anotation来设置不全的安全策略。 具体如下：

import com.alibaba.spring.websecurity.DefaultWebSecurityConfigurer;

import org.springframework.context.annotation.Configuration;

import org.springframework.security.config.annotation.web.builders.HttpSecurity;

import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;

import org.springframework.security.web.header.writers.frameoptions.WhiteListedAllowFromStrategy;

import org.springframework.security.web.header.writers.frameoptions.XFrameOptionsHeaderWriter;

import java.util.Arrays;

@EnableWebSecurity

@Configuration

public class WebSecurityConfig extends DefaultWebSecurityConfigurer \{

@Override

protected void configure(HttpSecurity http) throws Exception \{

super.configure(http);

//disable 默认策略。 这一句不能省。

http.headers().frameOptions().disable();

//新增新的策略。

http.headers().addHeaderWriter(new XFrameOptionsHeaderWriter(

new WhiteListedAllowFromStrategy(

Arrays.asList("http://itaobops.aliexpress.com", "https://cpp.alibaba-inc.com",

"https://pre-cpp.alibaba-inc.com"))));

\}

\}

上面是支持ALLOW-FROM uri的设置方式。

其他设置方式比较简单。 下面是支持SAMEORIGIN的设置方式：

@EnableWebSecurity

@Configuration

public class WebSecurityConfig extends DefaultWebSecurityConfigurer \{

@Override

protected void configure(HttpSecurity http) throws Exception \{

super.configure(http);

http.headers().frameOptions().sameOrigin();

\}

\}

三、去除x-frame-options header配置：

@EnableWebSecurity

@Configuration

public class WebSecurityConfig extends DefaultWebSecurityConfigurer \{

@Override

protected void configure(HttpSecurity http) throws Exception \{

super.configure(http);

http.headers().frameOptions().disable();

\}

\}

[6f24162ec93644626f45dddea8a2998f.png]: /images/20221022/f6653993c9cc4e479e8227d11b7b8b72.png

发表评论取消回复

表情：

评论列表（有 0 条评论，734人围观）

还没有评论，来说两句吧...

相关阅读

相关 python 进程的开启与关闭

进程开启 import os from multiprocessing import Process Process(target=main

╰+攻爆jí腚メ/ 2024年04月03日 09:59/ 0 赞/ 55 阅读

相关 Apple Watch 手腕检测的开启与关闭方法

Apple Watch 是一款智能手表，具有手腕检测功能，可以通过监测手腕的姿势和动作来自动唤醒屏幕或执行特定的操作。本文将介绍如何通过编程来开启或关闭 Apple Watch

小咪咪/ 2023年10月16日 18:23/ 0 赞/ 6 阅读

相关 java xframeoptions,Header:X-Frame-Options开启与关闭方法

X-Frame-Options头主要是为了防止站点被别人劫持,iframe引入一、nginx配置形式: add\_header X-Frame-Options ALLOW

旧城等待，/ 2023年01月13日 09:17/ 0 赞/ 735 阅读

相关 DELL戴尔开启/关闭触摸板方法

进入设置中心 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9

约定不等于承诺〃/ 2022年12月17日 13:58/ 0 赞/ 507 阅读

相关 NX保护机制开启与关闭

NX即No-eXecute（不可执行）的意思，NX（DEP）的基本原理是将数据所在内存页标识为不可执行，当程序溢出成功转入shellcode时，程序会尝试在数据页面上执行指令，

绝地灬酷狼/ 2022年12月04日 07:51/ 0 赞/ 436 阅读

相关 win10开启与关闭Administrator账户

目录 1.打开管理员Adminstrator账户 2.关闭管理员Adminstrator账户 1.打开管理员Adminstrator账户 win+r，

「爱情、让人受尽委屈。」/ 2022年11月16日 01:39/ 0 赞/ 262 阅读

相关 java关闭服务_Java开启/关闭tomcat服务器的方法

1.项目结构 ![a8e70771e57721900d9def9a0894151d.png][] 2.CallTomcat.java package com.callto

川长思鸟来/ 2022年11月06日 13:56/ 0 赞/ 267 阅读

相关【Linux】开启关闭防火墙

1. 永久性生效，重启后不会复原开启： chkconfig iptables on 关闭： chkconfig iptables off 1. 即时生

ゞ浴缸里的玫瑰/ 2022年07月24日 03:23/ 0 赞/ 283 阅读

相关 Linux 防火墙开启关闭

开启：service ipstables start 关闭：service ipstables stop 永久关闭：iptables -F 重启永

分手后的思念是犯贱/ 2022年06月17日 10:42/ 0 赞/ 298 阅读

相关 linux开启关闭Redis

连接xshell用 service network restar 重启网络 ip addr 查找ip [root@loc

骑猪看日落/ 2022年01月15日 00:17/ 0 赞/ 387 阅读