iframe的安全问题

今天尝试在iframe中嵌入外部网站, 碰到了一些小问题. 如何让自己的网站不被其他网站的iframe引用? 我测试的时候发现我把iframe的src指定到github不起作用. 原来是它把X-Frame-Options设置为了DENY, 这样就禁用了别的网站的iframe引用, 避免点击劫持(clickjacking). X-Frame-Options有三个可能值: DENY, SAMEORIGIN, ALLOW-FROM uri. 详见: The X-Frame-Options respon…

Web前端之iframe详解

iframe基本内涵通常我们使用iframe直接直接在页面嵌套iframe标签指定src就可以了. <iframe src="demo_iframe_sandbox.htm"></iframe> 但是,有追求的我们,并不是想要这么low的iframe. 我们来看看在iframe中还可以设置些什么属性 iframe常用属性: 1.frameborder:是否显示边框,1(yes),0(no) 2.height:框架作为一个普通元素的高度,建议在使用css设置.…

iframe标签

转载文章:Web前端之iframe详解 iframe基本内涵通常我们使用iframe直接在页面嵌套iframe标签指定src就可以了. <iframe src="demo_iframe_sandbox.htm"></iframe> 我们通常使用iframe最基本的特性,就是能自由操作iframe和父框架的内容(DOM). 但前提条件是同域. 这里,我们先从简单的开始,当主页面和iframe同域时,我们可以干些什么. 获取iframe里的内容主要的两个API…

Web前端安全之iframe

防嵌套网页比如,最出名的clickhacking就是使用iframe来拦截click事件.因为iframe享有着click的最优先权,当有人在伪造的主页中进行点击的话,如果点在iframe上,则会默认是在操作iframe的页面. 所以,钓鱼网站就是使用这个技术,通过诱导用户进行点击,比如,设计一个"妹妹寂寞了"等之类的网页,诱导用户点击,但实际结果,你看到的不是"妹妹",而是被恶意微博吸粉. 所以,为了防止网站被钓鱼,可以使用window.top来防止你的网页被…

Web前端之【 iframe 】

iframe基本用法 1.最基本的用法 iframe 标签指定 src <iframe src="demo_iframe_sandbox.htm"></iframe> 2. 常用属性 (1). frameborder 是否显示边框,1代表显示,0代表不显示 (2). height, width 高度 .宽度 (3). name 框架的名字,可通过window.frames[name]被调用 (4). scrolling 框架是否滚动,yes no auto…

iframe,我们来谈一谈

某大咖说: "iframe是能耗最高的一个元素,请尽量减少使用"某大牛说: "iframe安全性太差,请尽量减少使用"...wtf, 你们知不知道你们这样浇灭了多少孩纸学习iframe的热情和决心. 虽然,你们这样说的我竟无法反驳,但是iframe强大功能是不容忽视的. 可以看看各大邮箱网站是否还在使用iframe,查查知乎iframe. iframe不死,我心不灭.现在给大家安利一下iframe. iframe基本内涵通常我们使用iframe直接直接在页面嵌…

两个本地(localhost)html文件之间的传值

什么是iframe? iframe 元素会创建包含另外一个文档的内联框架(即行内框架).可以理解为把iframe解释成“浏览器中的浏览器“ 在IE中: document.frames[i].document.getElementById('元素的ID'); 或: document.frames['iframe的name'].document.getElementById('元素的ID'); 直接上代码: 总共有两个html文件这上1.html文件,代码如下: <html> <head&…

js学习笔记：操作iframe

iframe可以说是比较老得话题了,而且网上也基本上在说少用iframe,其原因大致为:堵塞页面加载.安全问题.兼容性问题.搜索引擎抓取不到等等,不过相对于这些缺点,iframe的优点更牛,跨域请求.制作富文本编辑器.历史记录管理.长连接.无刷新文件上传等方面,可参考一下知乎的这个回答:Iframe 有什么好处,有什么坏处?国内还有哪些知名网站仍用Iframe,为什么?有哪些原来用的现在抛弃了?又是为什么?. 今天就总结一下操作iframe的方法,以及平时的一些使用. 知识点汇总有些事情平时不…

利用 iframe解决ajax的跨域问题

问题 1. form提交或a标签跳转方式提交不会引发跨域问题. 2. ajax出于安全问题就有了跨域问题,因为一次请求中既访问了外部域最后返回了自己的域. 3. 用iframe其实就是想仿照ajax的效果,把form请求提交到iframe里就不会将当前页面跳转,到后台处理业务访问其他域的资源,然后往页面回写JavaScript脚本的方式返回信息. 前台触发链接 <a class="weui_btn weui_btn_primary" id="toLoan"&…

如何根据iframe内嵌页面调整iframe高宽续篇

接着昨天的工作如何根据iframe内嵌页面调整iframe高宽来说,按照文章中说的第二种方法实现代码如下: 实现 A.com/detail/view 页面的iframe代码如下: <iframe id="thirdiframe" src="http://B.com/location/testiframe" width="100%" scrolling="no" frameborder="0" he…

CP="CAO PSA OUR" 用P3P header解决iframe跨域访问cookie

1.IE浏览器iframe跨域丢失Session问题在开发中,我们经常会遇到使用Frame来工作,而且有时是为了跟其他网站集成,应用到多域的情况下,而Iframe是不能保存Session的因此,网上可以找到很多相关的文章,如果网站可以采用设置Web.Config中的配置: mode="StateServer" stateConnectionString="tcpip=127.0.0.1:42424" sqlConnectionString="data s…

js实现跨域(jsonp, iframe+window.name, iframe+window.domain, iframe+window.postMessage)

一.浏览器同源策略首先我们需要了解一下浏览器的同源策略,关于同源策略可以仔细看看知乎上的一个解释.传送门总之:同协议,domain(或ip),同端口视为同一个域,一个域内的脚本仅仅具有本域内的权限,可以理解为本域脚本只能读写本域内的资源,而无法访问其它域的资源.这种安全限制称为同源策略. ( 现代浏览器在安全性和可用性之间选择了一个平衡点.在遵循同源策略的基础上,选择性地为同源策略"开放了后门". 例如img script style等标签,都允许垮域引用资源.) 下表给出了相对 …

Easyui弹出窗体在iframe的父级页面显示

今天做EasyUI学习的预到了一个这样的问题:通过iframe加载的一个页面在调用$.messager.alert();这个方法后只能在iframe中显示alert效果而不是在全局的页面上显示这并不我要的效果:经过查找解决方法如下: 演示页面: iframemessager.html代码: <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1…

iframe跨域通讯

工作中遇到一个问题,IFRAME嵌套了一个外部页面用于统计统计的JS由我们提供,并且需要提供热点图一开始就碰到的问题就是不知道页面高度需要子页面传回页面高度用于将IFRAME拉升到合适高度当时设想的是由统计JS 调用父框架进行设置值但是浏览器直接报错显示安全问题不允许JS跨域执行我就通过另外一种办法实现了跨域通讯因为浏览器检查是否跨域是直接对比URL地址的如果域一致就允许访问我在统计JS中写入了 <iframe src=父框架执行JS地址" width=0 heigh…

记一次与iframe之间的抗争

iframe这个标签之前了解过这个东西,知道它可以引入外来的网页,但是实际开发中没有用到过.这一次有一个需求是说准备要在网页中嵌套另外一个网站,用iframe这个标签,让我测试一下这个可不可以在自己的网页中对引入进来的iframe框架进行操作,操作dom和css的一些东西.让我做出一个小案例看看可不可以,我信誓旦旦保证说可以的,我试过!!! 就这样交代给我之后信心满满的就开始了我的验证. 什么是同源? 同域名. 同端口. 同协议网上是有好多这个的解释的,给出一张图片. 看下面这张图片. 引…

web安全问题分析及处理

前言这是我观看了<前端漏洞分析及处理-蔡慧芨>公开课之后的一个总结及简单实践体会.在可能的情况下我会把他们都实际操作一遍,更加深刻地体会前端安全的重要性. web安全问题有哪些 XSS-跨站脚本攻击(全称Cross SiteScript) CSRF-跨站伪造请求(Cross Site Request Forgery) SSRF-服务器伪造请求(Server-Side Request Forgery) hijack-劫持 XSS-跨站脚本攻击概念全称是跨站脚本攻击(Cross SiteSc…

基于iframe的CFS(Cross Frame Script)和Clickjacking(点击劫持)攻击

攻击原理: CFS攻击(Cross Frame Script(跨框架脚本)攻击)是利用浏览器允许框架(frame)跨站包含其它页面的漏洞,在主框架的代码中加入scirpt,监视.盗取用户输入. Clickjacking(点击劫持) 则是是一种视觉欺骗手段,在web端就是iframe嵌套一个透明不可见的页面,让用户在不知情的情况下, 点击攻击者想要欺骗用户点击的位置. CFS 和 Clickjacking其实都是基于网页iframe产生的攻击.当没有预防的时候,攻击者可以…

web安全问题-csrf

web安全问题 csrf <script> document.write(` <form name="commentForm" target="csrf" method="post" action="http://localhost:1521/post/addComment"> <input name="postId" type="hidden" value…

IE下IFrame引用跨域站点页面时，Session失效问题解决

问题场景:在一个应用(集团门户)的某个page中, 通过IFrame的方式嵌入另一个应用(集团实时监管系统)的某个页面. 当两个应用的domain 不一样时, 在被嵌入的页面中Session失效.(session基于cookie实现,引用页不允许使用cookie). 问题分析:IE6/IE7从安全性角度考虑,支持的P3P(Platform for Privacy Preferences Project (P3P) specification)协议默认阻止第三方无隐私安全声明的cookie,Fir…

web开发常见的几大安全问题

一.SQL注入 SQL注入是一种常见的Web安全漏洞,攻击者利用这个漏洞,可以访问或修改数据,或者利用潜在的数据库漏洞进行攻击.SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令.具体来说,它是利用现有应用程序,将(恶意的)SQL命令注入到后台数据库引擎执行的能力,它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库,而不是按照设计者意图去执行SQL语句. 1.SQL注入的原理我们先举一个万…

php开发面试题---PHP为什么不安全，主要有那些安全问题（整理）

php开发面试题---PHP为什么不安全及常见的攻击方式(整理) 一.总结一句话总结: 其实安全和语言关系不大,主要和程序员关系比较大,php也就是因为是弱类型语言,所以不如java健壮,php会遇到的问题(比如sql注入等),java也会遇到,java解决方案比较多而已 1.银行系统的开发,以及其他金融类型的开发为什么会使用java开发而不是用php?php为什么不安全?java又安全在哪些方面? 1.PHP是弱数据类型的语言,Java是强制类型的语言,数据类型要求更为严格,这一特性使得Ja…

Angular 使用 frame 加载网络资源显示路径不安全问题

Angular 使用 frame 加载网络资源显示路径不安全问题做项目的时候,angular 使用 frame 加载网络pdf文件的时候出现 unsafe value 问题,路径不安全.解决办法. 在相应的 ts 文件中编写: 在组件中引入 angular 内置的 DomSanitizer 模块. import {DomSanitizer} from '@angular/platform-browser'; 在构造器里面定义属性. constructor(private sanitizer:…

PHP常见的十个安全问题

相对于其他几种语言来说, PHP 在 web 建站方面有更大的优势,即使是新手,也能很容易搭建一个网站出来.但这种优势也容易带来一些负面影响,因为很多的 PHP 教程没有涉及到安全方面的知识. 此帖子分为几部分,每部分会涵盖不同的安全威胁和应对策略.但是,这并不是说你做到这几点以后,就一定能避免你的网站出现任何问题.如果你想提高你的网站安全性的话,你应该继续通过阅读书籍或者文章,来研究如何提高你的网站安全性出于演示需要,代码可能不是很完美.日常开发过程中,很多代码都包含在了框架跟各种库里面.作…

JSONP跨域资源共享的安全问题

目录关于 JSONP 一.JSON 劫持二.Callback 可定义导致的安全问题三.其他文件格式( Content-Type )与 JSON 四.防御摘自:http://blog.knownsec.com/2015/03/jsonp_security_technic/ 关于 JSONP JSONP跨域然而,安全问题一直都是伴随着业务发展而出现的,JSONP 的出现同样带来了各种各样的安全问题.本文对 JSONP 实现过程中给带来的安全攻防问题做了一些简单介绍. 一.JSON 劫持 J…

完美判断iframe是否加载完成

var iframe = document.createElement("iframe"); iframe.style.width = "265px"; iframe.style.height = "490px"; iframe.style.border = "none"; iframe.src = "http://cnblogs.com/walls"; if(iframe.attachEvent){ //…

页面嵌入dom与被嵌入iframe的攻防

1.情景一:自己的页面被引入(嵌入)至别人的页面iframe中 if(window.self != window.top){ //url是自己页面的url window.top.location.href = url } 通过顶层框架的判断,得知自己所在的框架是否是顶层框架.来判断自己页面所在的情况. 知识点:不同域中的iframe不能相互访问. 比如我们的页面在别人的页面iframe中,我们的页面跟别人的页面就在不同的域中. 这时候我们通过window.top.location是无法访问loc…