java - ClickJacking 过滤器以添加 X-FRAME-OPTIONS 作为响应

Question

为了解决 clickJacking 和阻止我的站点被 iframe 打开的问题，我创建了一个 servlet 过滤器，我在其中添加了下面一行以添加“X-FRAME-OPTIONS”响应 header 。但是当我运行页面并查看该页面的响应 header 时，我从来没有在其中得到这个 header 。知道为什么吗？

public void doFilter(
        ServletRequest request, ServletResponse response, FilterChain chain
        ) throws IOException, ServletException
    {

        HttpServletResponse res = (HttpServletResponse)response;
        chain.doFilter(request, response);

        //Specify the mode
        res.addHeader("X-FRAME-OPTIONS", "DENY");
    }

Answer 1

您需要在调用doFilter 之前添加 header 。当控制从 doFilter 返回时，headers 和 body 已经被发送，所以你的 addHeader 被忽略了。