php - 如何使用 PHP Yii 框架发送带有 X-Frame-Options DENY 的 header ？

Question

我试图拒绝 iframe 使用 PHP 框架 Yii 调用我的网站。

我在“index.php”的顶部或“protected/views/layouts/main.php”中添加了这一行

<?php header("X-Frame-Options: DENY") ?>

但我仍然可以使用我网站的“src”属性创建一个 iframe!

我也在尝试:添加“.htaccess”:

Header always append X-Frame-Options DENY

Answer 1

您可以通过配置应用程序的 response 组件并在 beforeSend 事件中添加自定义 header 来完成此操作，例如:

return [
    ...
    'components' => [
        ...
        'response' => [
            'on beforeSend' => function($event) {
                $event->sender->headers->add('X-Frame-Options', 'DENY');
            },
        ],
        ...
    ],
];

这将为所有响应添加 header 。这可能不合适，在这种情况下，您可以在从操作返回之前或在 Controller 的 afterAction() 方法。

有据可查，meta http-equiv 标记不适用于这种情况。在我看来，如果您可以在服务器端正确设置 header ，则永远不应使用 http-equiv。

PHP header() 函数不起作用的原因是 Yii 的响应组件在准备发送响应之前重置所有 header 。