http - 防御点击劫持

Question

如果我们实现 x-frame-options 来防止点击劫持就足够了，还是我们还需要强制提供 framebusting (framekilling) 代码？

我正在关注这篇文章 https://www.owasp.org/index.php/Clickjacking

我认为不支持 x-frame-options 的浏览器需要 framebusting。

最好的问候，

苏拉夫

Answer 1

几乎所有浏览器都很好地支持 X-Frame-Options header ，至少在“拒绝”和“同源”值方面是这样。也许 IE 8+ 和往常一样是最弱点，所以 IE 7 不支持这个 header ，但我认为没有人再针对 IE 7。

参见 here有关浏览器版本支持的详细信息。

所以简而言之，除了 X-Frame-Options 之外，您不需要 framebusting 代码。