X-Frame-Options 不能对所有页面 100% 工作

Question

我有一些奇怪的事情（至少对我来说是这样），希望得到一些帮助。

我有我的网站https://www.myweb.com（仅作为示例），当我点击该网站时，我被重定向到登录页面https://www.myweb.com/Account/Logon，这很好。

我收到报告说我的网站缺少 X-Frame-Options，所以我正在检查它，并在我运行此命令时：

curl -I https://www.myweb.com = 我没有看到选项，但是当我运行它时： curl -I https://www.myweb.com/Account/Logon = 我确实看到了那里的选项。

但是，该报告说我缺少此 URL 中的指令： https://myweb.com/Error/Error?aspxerrorpath=/bundles/

要访问上面的网址，我不需要经过身份验证。

所以，我的问题是：

• 为什么我在该 URL 中看不到选项？
• 如何应用将在整个站点/页面中完成的配置？

我正在运行 IIS 和 ASP。

谢谢！

Answer 1

据我所知，有多种方法可以通过使用 javascript、webconfig、服务器代码等在响应标头中添加 X-Frame-Options。

如果您想配置 IIS 以发送 X-Frame-Options 标头，请将其添加到您网站的 Web.config 文件中：

<system.webServer>
  ...

  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="sameorigin" />
    </customHeaders>
  </httpProtocol>

  ...
</system.webServer>