针对禁止iframe页面的所有JS脚本如alert及弹出窗口等，我们可以通过以下几种方法实现：
使用X-Frame-Options响应头
X-Frame-Options是一种HTTP响应头，在浏览器不允许在页面内嵌套其他网站时可以使用。该头部允许网站所有者控制页面如何在其他站点的iframe中呈现。
一个简单的例子如下：
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
X-Frame-Options: DENY
X-Frame-Options头部可以有三个值：DENY，SAMEORIGIN和ALLOW-FROM uri。使用DENY值将完全禁止包含该页面的iframe。使用SAMEORIGIN值将仅允许来自相同来源（同一个域）的iframe。使用ALLOW-FROM值将允许来自指定URI的iframe。
使用Content-Security-Policy响应头
Content-Security-Policy（CSP）是另一种HTTP响应头，主要用于减少和报告网站的XSS攻击。CSP提供了一种方法来指定允许页面中的资源加载的源。
一个简单的例子如下：
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Security-Policy: frame-ancestors 'none';
frame-ancestors指令用于限制网站能够在哪些iframe中呈现。使用none值将完全禁止包含该页面的iframe。可以使用self值允许同一站点中的iframe。还可以使用允许的源URI列表，以允许外部域使用iframe。
以上两种方法都需要在服务器端进行设置。
示例1：使用Iframe、alert和弹出窗口进行攻击
假设我们有一个页面index.html，其中包含如下内容：
<!DOCTYPE html>
<html>
<head>
<title>可嵌入的页面</title>
</head>
<body>
<h1>一个可以嵌入到iframe中的页面</h1>
<button onclick="alert('hello')">点击按钮</button>
<script>
window.onload = function() {
open('http://www.example.com');
}
</script>
</body>
</html>
在另一个域名下，我们创建了一个iframe，并尝试加载该页面：
<!DOCTYPE html>
<html>
<head>
<title>父页面</title>
</head>
<body>
<h1>父页面</h1>
<iframe src="http://domain.com/index.html"></iframe>
</body>
</html>
上述代码将使用alert和open功能在父页面中创建弹出窗口并跳转到另一个网站，这可能会导致安全问题。
为了解决这个问题，我们可以添加X-Frame-Options和Content-Security-Policy头部：
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
X-Frame-Options: DENY
Content-Security-Policy: frame-ancestors 'none';
这样，当我们尝试在iframe中加载index.html时，将不会出现alert和弹出窗口。
示例2：使用iframe个性化展示另一个网站
有时候我们需要在我们的网站中嵌入另一个网站的内容，但是我们希望用户在我们页面中浏览该网站时，不能够通过我们网站中的js脚本进行非授权的修改。
我们如下代码可以使用X-Frame-Options和Content-Security-Policy头部来限制在iframe中嵌入的网站：
HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
X-Frame-Options: ALLOW-FROM https://www.example.com
Content-Security-Policy: frame-ancestors https://www.example.com;
这样，只有来自https://www.example.com的iframe才能嵌入到我们的页面中，并且我们也只能在iframe中显示该网站的内容，而无法使用alert和弹出窗口等JS脚本进行修改。
本站文章如无特殊说明，均为本站原创，如若转载，请注明出处：禁止iframe页面的所有js脚本如alert及弹出窗口等 - Python技术站
微信扫一扫 
支付宝扫一扫 