ssl - X-Frame-Option 问题

Question

我的应用程序已经部署在 JBOSS AS 7 上，Apache Web 服务器在中间，公共(public) IP 在那里可以访问应用程序。应用程序基于 Java/Spring/JSF/Hibernate。为了避免点击劫持，我在我的应用程序以及 Appache 服务器的 httpd.conf 中将 X-Frame-Option 设置为 SAMEORIGIN。在几个模块中，很少有弹出窗口/新窗口被打开以显示数据。在尝试来自 App Server 的那些时，它们工作正常。但在另一种情况下，如果从公共(public) IP 尝试，弹出窗口将变为空白。在网络调试中，我发现了以下错误。

123456.jsf:1 加载“https://xx.xx.xx.xx/xxx/xxxx/123456.jsf?PA1=16208&PA2=A”时遇到多个具有冲突值(“SAMEORIGIN、DENY”)的“X-Frame-Options” header 。回到“拒绝”。123456.jsf:1 拒绝在框架中显示“https://xx.xx.xx.xx/xxx/xxxx/123456.jsf?PA1=16208&PA2=A”，因为它将“X-Frame-Options”设置为“SAMEORIGIN，DENY”。

我在 Apache 服务器中搜索了应用程序和 conf 文件，但没有找到 X-Frame-Options 设置为 DENY 的位置。

尝试弹出页面时在响应头中发现以下值:X-Frame-Options:“同源，拒绝”。欢迎提供帮助。

Answer 1

点击劫持是一个安全漏洞，可以从 here 中很好地理解.

<我>X-Frame-Options 是响应 header 参数，用于指示是否应允许浏览器在“框架”或“iframe”中呈现页面。站点可以使用它来避免点击劫持攻击，方法是确保它们的内容不会嵌入到其他站点中。为所有包含 HTML 内容的响应设置 X-Frame-Options header 。可能的值为“DENY”、“SAMEORIGIN”或“ALLOW-FROM uri”。

报告的问题与 X-Frame-Options 有关，其中在某些层中设置了 DENY，但我还没有配置它。这些层是:我的应用程序层(值设置为 SAMEORIGIN)、Apache WEB 层(值设置为 SAMEORIGIN)和负载平衡层(值由 LB Team 设置为 DENY)。原因是，弹出窗口一片空白。经过建议，LB 团队更改了设置。我的应用程序按预期工作正常。