javascript - 选择性帧爆破

Question

我想为我的 iframe 应用程序实现选择性 Framebursting。

我的 iframe 位于 www.mywebsite.con/iframe.aspx?lic=1234

当托管我的 iframe 的第三方网站是 (PayedWebsited1.con 或 PayedWebsited2.con) 并且 lic=1234 选项也存在, 显示 iframe。对于任何其他作弊者，展示香蕉!

我该怎么做？

Answer 1

问题是，无论您将使用服务器端解决方案还是在 javascript 中，该许可证号都无济于事。作弊者将能够在 PayedWebsite1.com 中看到该许可证号。

如前所述，您无法获取父框架位置，但可以获取引荐来源网址 - 如果您的页面在 iframe 中加载，则它等于父框架。

if (window.top.location !== document.location) {  // only if we're in iframe
                           // we get host of our referrer
    var host = document.referrer.match(new RegExp("(http|https)://(.*?)/.*$"))[2];
    host = host.toLowerCase();  // convert to lower case
    var myHost = document.location.host.toLowerCase();
    if (
        host !== myHost                  // so we can click on links in an iframe
        && host !== 'payedwebsite1.com'
        && host !== 'payedwebsite2.com'
    ) {
        window.top.location.href = document.location.href;
    }
}

请注意，这种技术可以被击败。更多信息，请访问 http://javascript.info/tutorial/clickjacking

对于较新的浏览器，您可以发送特殊的 header :

X-Frame-Options: DENY

逻辑保持不变，只是在服务器端。检查 Referrer，如果是 PayedDomain 或您自己的域，请继续。否则，发送此 header 。