iframe - 如何在页面级别覆盖 X-Frame-Options HTTP header 的值

Question

我有一个 .Net Web 应用程序，我在其中使用了一些 iframe 和框架集。为了保护我的站点免受跨框架脚本攻击，我计划在我的 IIS 或 Global.asax 中添加值为“SAMEORIGIN”的 HTTP 响应 header “X-Frame-Options”。这是我指的文章:

http://blogs.microsoft.com/cybertrust/2009/02/05/clickjacking-defense-in-ie8/

但是，在某些情况下，我实际上想在 iframe 内的特定页面上显示来自不同域的网页。那么，是否可以将“仅针对该页面”的“X-Frame-Options” header 设置覆盖为“ALLOW-FROM”并指定我想要允许的站点？如果是，那我该怎么做？如果我覆盖此页面的设置，是否也会更改我的全局设置值？

Answer 1

最好的办法可能是在每个页面上设置标题。您可以有一个母版页，所有其他页面都继承自该母版页，然后单个页面可以覆盖母版页具有的 header 属性。