ホームページ >ウェブフロントエンド >htmlチュートリアル >iframes_html/css_WEB-ITnose によってページが悪意を持ってネストされるのを防ぐ
新しいブログアドレス: http://hengyunabc.github.io/prevent-iframe-stealing/
情報を見ていると、iframe のネストを防ぐための次のコードを見つけました:
try { if (window.top != window.self) { var ref = document.referer; if (ref.substring(0, 2) === '//') { ref = 'http:' + ref; } else if (ref.split('://').length === 1) { ref = 'http://' + ref; } var url = ref.split('/'); var _l = {auth: ''}; var host = url[2].split('@'); if (host.length === 1) { host = host[0].split(':'); } else { _l.auth = host[0]; host = host[1].split(':'); } var parentHostName = host[0]; if (parentHostName.indexOf("test.com") == -1 && parentHostName.indexOf("test2.com") == -1) { top.location.href = "http://www.test.com"; } }} catch (e) {}
Assume test. , test2.com は独自のドメイン名です。他の Web サイトがこのサイトのページを悪意を持ってネストすると、このサイトのトップページにジャンプします。
上記のコードには 2 つの問題があります:
どの言語であっても正しくありません。コードを手動で記述することをお勧めします。 URL の複雑さは常人の想像を超えているからです。多くのセキュリティ問題は、URL の不適切な解析によって引き起こされます。たとえば、CSRF を防止する場合は、リファラーを決定します。
URI 構文:
http://en.wikipedia.org/wiki/URI_scheme#Generic_syntax
JavaScript で URL を解析する最良の方法は、ブラウザの JS エンジンを使用することです、 a タグを作成することで:
var getLocation = function(href) { var l = document.createElement("a"); l.href = href; return l;};var l = getLocation("http://example.com/path");console.debug(l.hostname)
iframe の悪意のあるネストを防ぐ簡単な方法は次のとおりです:
if(window.top != window && document.referrer){ var a = document.createElement("a"); a.href = document.referrer; var host = a.hostname; var endsWith = function (str, suffix) { return str.indexOf(suffix, str.length - suffix.length) !== -1; } if(!endsWith(host, '.test.com') || !endsWith(host, '.test2.com')){ top.location.href = "http://www.test.com"; }}
http ://docs. oracle.com/javase/tutorial/networking/urls/urlInfo.html
contain、indexOf、endWitch などの関数を使用する場合は注意してください。
参照http://stackoverflow.com /questions/5522097/prevent-iframe-stealing