iframe拒绝嵌套

当网站使用X-Frame-Options来控制iframe的嵌套时，有三个属性值可以选择。其中，deny表示该页面不允许在frame中展示，即使是在相同域名的页面中嵌套也不允许。sameorigin表示该页面可以在相同域名页面的frame中展示。allow-from uri表示该页面可以在指定来源的frame中展示。

为了拒绝iframe的嵌套，可以在响应头中加入X-Frame-Options DENY，这样浏览器就会拒绝当前页面加载任何Frame页面。另外，也可以使用SAMEORIGIN来限制frame页面的地址只能为同源域名下的页面，或者使用ALLOW-FROM来指定允许frame加载的页面地址。

在nginx配置中，可以将X-Frame-Options添加到'http'，'server'或者'location'的配置项中。通常情况下，使用SAMEORIGIN参数来允许同域嵌套。如果需要允许单个域名的iframe嵌套，可以使用ALLOW-FROM指定允许的页面地址。如果需要允许多个域名的iframe嵌套，可以使用逗号分隔多个地址。

使用X-Frame-Options的原因是为了避免点击劫持攻击，通过确保网站没有被嵌入到别人的站点中，保护网站的安全性。<span class="em">1</span><span class="em">2</span><span class="em">3</span><span class="em">4</span>

相关问题

iframe拒绝嵌入网页

回答: 当一个网页设置了X-Frame-Options头部时，它可以控制是否允许其他网页将其嵌入到iframe中。X-Frame-Options有三个属性值：deny、sameorigin和allow-from uri。deny表示该页面不允许在frame中展示，即便是在相同域名的页面中嵌套也不允许。sameorigin表示该页面可以在相同域名页面的frame中展示。allow-from uri表示该页面可以在指定来源的frame中展示。\[2\]这样的设置可以防止点击劫持攻击，确保网站没有被嵌入到别人的站点里面。\[3\]如果你遇到了iframe拒绝嵌入网页的情况，可能是因为该网页设置了X-Frame-Options头部，并且设置为deny或者allow-from uri限制了嵌入的来源。
#### 引用[.reference_title]
- *1* [iframe嵌入微信公众号页面（有图片）](https://blog.csdn.net/linchui22/article/details/127384009)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item]
- *2* *3* [Iframe嵌套拒绝接入](https://blog.csdn.net/weixin_43424325/article/details/125345672)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item]
[ .reference_list ]

nginx iframe引入外链提示拒绝了我们的连接请求。

nginx配置可以通过设置X-Options来控制是否允许iframe引入外链。具体配置如下：

location / {
    add_header X-Frame-Options "SAMEORIGIN";
}

上述配置将设置X-Frame-Options为SAMEORIGIN，表示只允许在相同域名下的页面中嵌套展示。

如果需要允许特定的来源页面引入外链，可以使用allow-from属性值。例如，允许www.example.com引入外链：

location / {
    add_header X-Frame-Options "ALLOW-FROM https://www.example.com";
}

需要注意的是，X-Frame-Options配置只对支持该安全特性的浏览器生效，不支持该特性的浏览器会忽略该配置。