same-origin-policy - IE7 的 X-Frame-Options 的替代品

Question

我一直在尝试通过添加各种功能来使我的应用程序更加安全，其中之一就是防止点击劫持。我已将 X-frame-options 成功添加到响应 header ，但在进行更多研究后，我注意到此选项在 IE7 中不可用。因此，我可以为 IE7 做什么？

Answer 1

目前最好的解决方案是使用 JavaScript 来打破框架。当然，如果未启用 JavaScript，它将无法工作。

来自 OWASP:

首先将 ID 应用于样式元素本身:

<style id="antiClickjack">body{display:none !important;}</style>

然后在脚本之后立即通过 ID 删除该样式:

<script type="text/javascript">
   if (self === top) {
       var antiClickjack = document.getElementById("antiClickjack");
       antiClickjack.parentNode.removeChild(antiClickjack);
   } else {
       top.location = self.location;
   }
</script>

来源:https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet#Best-for-now_Legacy_Browser_Frame_Breaking_Script