受信任网站列表中的 iframe

Question

我是 iframe 及其安全漏洞的新手。我有网站 A 需要嵌入到网站列表中的 iframe 中。这是有趣的部分。

• 受信任网站列表和 iframe 共享同一个域。
• 只有受信任的网站列表可以 iframe A
• 如果不受信任的网站尝试使用 iframe A，则应该呈现一些错误。

我知道有些地方使用某种标记化系统来做到这一点。有谁知道或有一些很好的参考资料可以做到这一点？

Answer 1

好吧，您不能因为无法控制他们的代码而阻止人们构建您的网站。

但是，您可以：

• 使用framebuster 将您的网站提升到顶层（从 iframe 退出并进入主窗口）。

• 检查parent window's url（构成您网站的网站的网址）。它仅适用于同一个域，这意味着如果另一个域正在对您进行 iframe，您将无法获取父 URL（“啊哈！有人在构建您的网站！”）。如果您可以获取 url，则顶部站点来自您的域。之后您唯一需要做的就是检查该站点是否属于您域中的受信任站点。