【嵌入对抗】 一行代码防止网站被嵌入 iframe

suyang

防止你的网站被恶意嵌入 iframe，只需要一行 HTTP 响应头
代码：
Content-Security-Policy: frame-ancestors 'none';
可以禁止任何网页（包括同源）通过  <iframe> 、 <frame> 、 <object>  等方式嵌套你的页面
以及
防止点击劫持（Clickjacking）攻击，让用户无法在你不知情的情况下被诱导点击。

注意：如果你自己要嵌入，不要填写none，可以使用Content-Security-Policy: frame-ancestors 'self' https://bbs.binmt.cc/;
表示仅允许指定域名嵌套iframe或frame中

关于iframe可以看我的帖子：
上期帖子

suyang

这个指令不会影响  <iframe src="...">  中加载的内容，而是控制 当前页面 能否被其他页面嵌套。

挽梦遗酒

看看隐藏，论坛有你更精彩!

心机

看看

suyang

泰酷辣，水了2帖

lds

看看隐藏

半两旧梦

感谢分享

黄金

路过看看

努力的蜗牛

看看隐藏

beic

看看隐藏

370209390

看看隐藏

m96936

支持楼主，感谢分享

青春向上

直接document.body.innerHtml=""
只要没有网页，就不存在被嵌入 iframe

AC莫

看看隐藏

suyang

青春向上 发表于 2025-10-31 09:58
直接document.body.innerHtml=""
只要没有网页，就不存在被嵌入 iframe

那iframe 只能嵌套空气了