首页 > 后端开发 > php教程 > 网站内的 iframe 会对网站构成威胁吗?该如何防止?

网站内的 iframe 会对网站构成威胁吗?该如何防止?

WBOY
发布: 2016-06-06 20:48:11
原创
1160 人浏览过

如何防止来自iframe 内未知网站的安全威胁?
如果有威胁,该如何防止?
例如新浪微博的站内应用,他们是如何防止 iframe 内的网站获得用户信息的?

希望能得到你们的解答!谢谢!

回复内容:

如何防止来自iframe 内未知网站的安全威胁?
如果有威胁,该如何防止?
例如新浪微博的站内应用,他们是如何防止 iframe 内的网站获得用户信息的?

希望能得到你们的解答!谢谢!

@沙渺 还是存在威胁的,iframe的窗口可以替换顶级的窗口路径,从而实现跳转页面,造成钓鱼攻击的危险。

在HTML5标准之前,没有很好的解决办法。
HTML5定义了iframe的沙盒属性,可以选择性白名单iframe的功能。
具体实现:http://www.html5rocks.com/en/tutorials/security/sandboxed-iframes/

在内容提供方的服务器没有做出明确授权的条件下,javascript的跨域请求是所有浏览器所禁止的,没有任何商量的余地。

这一点上和iframe里外并没有任何关系。外边污染里边,里边窥探外边,或iframe之间交叉产生关联……只要跨域,都不允许。

所有的安全说来说去就基于这一条。iframe里外两个网页,其实在浏览器的安全系统中,与两个标签页并列,并没有什么区别。

浏览器不是有同域限制的么?

如果两个页面的一级域名不同,那iframe里的页面怎么能控制外部页面呢?

当然,如果两个页面只是二级域名不同,比如a.segmentfault.com和b.segmentfault.com之间,可以通过JS将两个页面的document.domain设置为一样的,

<code>document.domain=segmentfault.com;
</code>
登录后复制

这样两个页面的JS可以互相调用。这种特性可以用来在一个一级域名下的两个二级域名之间做跨域请求。

但是如果一级域名不一样,是没有直接控制的可能的,浏览器直接就给返回错误了,怎么产生威胁的呢?

不同源的情况下,iframe 顶多获取外部页面的 URL,其他东西都获取不了。所以要确保 URL 里面别写太隐私的东西。

就我目前的经验来看,iframe只要是跨域,你是拿它没办法的,连onclick事件都绑定不了,别说操作父页面DOM了,当然如果没有跨域,iframe是完全可以操作父页面or子页面的

相关标签:
来源:php.cn
本站声明
本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn
热门教程
更多>
最新下载
更多>
网站特效
网站源码
网站素材
前端模板