禁止页面上的 iframe 的 HTTP header

Question

有标题 X-Frame-Options，当您想禁止(或限制)其他网站使用 iframe 将您的页面嵌入到他们的页面时，网络服务器会提供该选项。

但是，是否有一个 header 告诉浏览器:“不允许在此页面上加载任何 iframe”？

当然，有 header 告诉浏览器允许从哪个域执行哪些脚本，但我想要更通用的东西:“不允许任何 iframe，或仅允许来自某些来源的 iframe，以载入此页面”。

Answer 1

Content-Security-Policy (CSP) 可用于限制页面上的内容，包括 iframe。具体来说，frame-src directive .如果您设置以下 HTTP header ，您的页面上将不允许任何 iframe。

Content-Security-Policy: frame-src 'none'

如果您只想允许来自特定来源的 iframe，您可以执行以下操作以允许来自 example.com 和所有子域的 iframe:

Content-Security-Policy: frame-src http://*.example.com

您还可以通过元标记设置 CSP 政策。