怎么配置 Web 服务器响应头防范点击劫持攻击 Clickjacking 指南-安全-PHP中文网

防范点击劫持需综合运用x-frame-options与content-security-policy frame-ancestors，差异化配置、严格语法、多层验证并兼顾合法嵌入需求。

怎么配置 web 服务器响应头防范点击劫持攻击 clickjacking 指南

防范点击劫持，关键不是加一个响应头就完事，而是用对策略、配准范围、留出必要例外，并验证是否真正生效。

X-Frame-Options：兼容性最好、必须配置的基础项

这个响应头是浏览器最早支持的防御手段，至今仍被所有主流浏览器（Chrome、Firefox、Edge、Safari）完整识别。它只控制页面能否被嵌入 <iframe></iframe>、<frame> 或 <object></object>，不防 XSS 或 CSRF，但它是第一道视觉隔离屏障。

DENY：最严格，禁止任何来源嵌入，包括同域自身页面。适合登录页、支付页等高敏页面
SAMEORIGIN：推荐默认值，仅允许同源嵌入。适用于需要内部 iframe 协作的管理后台或单页应用子模块
ALLOW-FROM：已被 Chrome 70+、Firefox 69+ 等主流版本废弃，不再建议使用

Nginx 中按路径差异化配置示例：

location /login {<br>    add_header X-Frame-Options "DENY";<br>}<br>location /admin {<br>    add_header X-Frame-Options "SAMEORIGIN";<br>}<br>location /embed/widget {<br>    add_header X-Frame-Options "ALLOW-FROM https://cdn.example.com"; # 仅限旧版兼容场景

Content-Security-Policy frame-ancestors：W3C 推荐的现代标准

X-Frame-Options 是过渡方案，frame-ancestors 才是当前唯一被 W3C 正式推荐、且所有现代浏览器强制执行的标准指令。它语法敏感，错一个字符就会完全失效。

Ai Agents Base

AI Agent智能体综合目录网站

下载

'none' 和 'self' 必须带单引号，写成 frame-ancestors none 或 frame-ancestors self 无效
'self' 不支持路径后缀，'self'/dashboard 或 'self' https://example.com/admin 都非法
允许多个可信域名时，用空格分隔，不能加逗号：frame-ancestors 'self' https://embed.example.com https://dash.company.net
通配符不被支持，https://*.example.com 会被忽略，必须列全实际域名

Nginx 示例（与 X-Frame-Options 共存，增强兼容性）：

add_header Content-Security-Policy "frame-ancestors 'self' https://trusted-widget.com;";

验证响应头是否真正生效

光写配置没用，必须确认浏览器收到并解析了这些头。常见误区包括：

在 HTML 中用 <meta http-equiv="X-Frame-Options" content="DENY"> —— 所有现代浏览器直接忽略，规范从未支持
本地开发时看似生效，其实是 Vite/Webpack Dev Server 自动注入了响应头，非真实服务端行为
未检查 Nginx 配置是否被子 location 覆盖，或是否被 proxy_pass 后端覆盖

验证方法：

用 curl -I https://yoursite.com/login 查看原始响应头
打开 Chrome DevTools → Network → 刷页面 → 点击任意 HTML 请求 → Headers 标签页，确认 X-Frame-Options 和 Content-Security-Policy 存在且值正确
新建一个含 iframe 的测试页，尝试嵌入目标 URL，观察是否被拒绝加载或显示空白