tomcat设置X-Frame-Option

1. 如果tomcat的lib目录下的catalina.jar中有org.apache.catalina.filters.HttpHeaderSecurityFilter

Apache tomcat 7.0.90和 tomcat 8以上都有HttpHeaderSecurityFilter

可以在tomcat下的conf里的web.xml中增加以下过滤器

  httpHeaderSecurity
  org.apache.catalina.filters.HttpHeaderSecurityFilter
  
    antiClickJackingEnabled
    true
  
  
    antiClickJackingOption
    SAMEORIGIN
  
  true


  httpHeaderSecurity
  /*

2. 如果没有HttpHeaderSecurityFilter，需要自己写过滤器，添加如下代码，自己在项目中配置拦截。

HttpServletResponse response = (HttpServletResponse) sResponse;
response.addHeader("x-frame-options","SAMEORIGIN"); 

X-Frame-Options 有三个值:

DENY

表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

SAMEORIGIN

表示该页面可以在相同域名页面的 frame 中展示。

ALLOW-FROM uri

表示该页面可以在指定来源的 frame 中展示。

换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。

另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。

转载于:https://my.oschina.net/u/2402140/blog/1928412