x-frame-option SAMEORIGIN 和 ASP.NET 中的点击劫持

Question

应用程序在允许加载到 iframe 时出现问题。我已经阅读了很多关于它的内容（以及点击劫持）。 由于需要将页面加载到具有相同来源的 iframe 中，因此我提出了以下解决方案：

将以下内容添加到 global.asax 文件中

HttpContext.Current.Response.AddHeader("x-frame-options", "SAMEORIGIN")

但是，我知道并非所有浏览器都支持此标头。所以，我想添加一些额外的 javascript 解决方案。由于我不是 javascript 专家，因此我找到了以下解决方案：

<script>    
    if (self == top) {        
        var theBody = document.getElementsByTagName('body')[0]        
        theBody.style.display = "block"        
    } else {        
        top.location = self.location        
    }    
</script>

我知道如果有人非常想要它，它可能会被阻止，但是，这会增加一些安全性。

我的问题是—— 1）我不明白这个javascript代码的逻辑（你能给一些关于hte逻辑的cmets） 2) 如果这在 SAMEORIGIN 中有效（允许 iframe 在同一页面中加载，但不能在其他页面上加载）？

编辑：

我发现了另一种对我来说似乎很清楚的方法，但是，我不确定这是否比上述更安全：

<style>html { visibility : hidden }</style>
<script>
    if (self == top ) {
        document.documentElement.style.visibility = 'visible';
    } else {
        top.location = self.location;
    }
</script>

Answer 1

self 是当前页面，如果它等于最外面的框架页面top，那么逻辑是它不在框架中，所以一切正常。如果不是，它将最外层框架的位置设置为当前页面 (top.location = self.location;)。这被称为“frame buster”代码，但也有一些已发布的“frame buster buster”脚本破坏了阻止内容被框架化的尝试，因此请记住，您的 JavaScript 可能并不总是有效。

x-frame-options 是要走的路，所以如果你添加了它，那么你应该在现代浏览器上是安全的，但你可以尝试this approach，如果网站试图停止你的框架破坏器，它将显示一条警告消息从工作中。