asp.net 配置 X-Frame-Options

近日網站在安全檢查，送檢的網站被反饋有以下問題

 

X-Frame-Options Header未配置

漏洞描述： 弱點描述： X-Frame-Options HTTP響應頭可以指示瀏覽器是否允許當前網頁在“frame”或“iframe”標簽中顯示，以此 使網站內容不被其他站點引用和免於點擊劫持攻擊。

修復和改進建議： 一般性的建議： 給您的網站添加X-Frame-Options響應頭，賦值有如下三種，1、DENY：無論如何不在框架中顯示；2、SAMEORIGIN： 僅在同源域名下的框架中顯示；3、ALLOW-FROM uri：僅在指定域名下的框架中顯示。如Apache修改配置文件 添加“Header always append X-Frame-Options SAMEORIGIN”；Nginx修改配置文件“add_header X-Frame-Options SAMEORIGIN;”。

 

解決辦法：在web.config添加以下配置

 

<system.webServer>
  ...
  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="SAMEORIGIN" />
    </customHeaders>
  </httpProtocol>
  ...
</system.webServer>