javascript - 如何禁止取景

Question

我最近注意到堆栈溢出“出于安全原因”does not allow framing.

1) 这是怎么做到的？ (不是那么具体的情况!我的意思是技术/语言等，出于某种原因我猜是 js)

2) 它实际上是在避免它还是只是一个警告(有点像客户端验证)

3) 是否应该始终这样做，或者是否有这样做的特定原因并且在大多数情况下不是必需的(这是我第一次看到它)

提前致谢!!!

Answer 1

1) Framebusting 总是在客户端完成:因为服务器永远不会被告知页面被请求在框架中使用，所以它必须在客户端完成。最近的浏览器支持一个名为 X-Frame-Options 的特殊 HTTP header 。以防止在框架中显示页面，但要删除框架或使用较旧的浏览器版本，您需要 Javascript。 (感谢 ide 指出这一点!)

2) 假设您不使用 HTTP header ，那么如果关闭 Javascript，则该框架将保留。没有办法解决这个问题，因为它必须在客户端发生。

3) 它实际上在几年前相当普遍，尽管现在大多数网站似乎已经停止使用它。你可能仍然使用它的一个原因是为了防止 clickjacking .

现在，恰好 frame busting can be busted , 实际上有一个 SO question关于如何破坏 frame-busting busters - SO 目前正在使用这种反反帧破坏。

(当然，这种反反帧破坏本身可能会被破坏，在这种情况下，可能有办法破坏反反帧破坏破坏者，我敢肯定你知道这是怎么回事。)