Question

F.e。我有这样的代码

index.html

<html>
<head>
    <meta charset="utf-8">
</head>
<body>
    <iframe src="iframe.html"></iframe>
</body>
</html>

iframe.html

<html>
    <head>
        <script src="https://cdnjs.cloudflare.com/ajax/libs/jquery/3.3.1/jquery.js"></script>
    </head>
    <body>
        <script>
            $.get("http://badsite.com");
            $.get("http://goodsite.com");
        </script>
    </body>
</html>

如您所见，iframe发出了两个请求，如何阻止对http://badsite.com的请求我需要使用js，php，还是应该配置服务器或更改.htaccess文件？

Answer 1

使用CSP设置connect-src。

您不能专门阻止恶意站点，但只能允许商品站点（或包含商品站点的站点列表）。

您对iframe.html的HTTP响应标头应包括：

Content-Security-Policy: connect-src http://goodsite.com http://different-goodsite.com

您还可以使用meta元素。

<meta http-equiv="Content-Security-Policy" content="connect-src http://goodsite.com http://different-goodsite.com">

Answer 2

HTML5在 <th:block th:each="someObject : ${adminViewDTO.someObjects}">  </th:block>上引入了the sandbox attribute，从而禁用了JavaScript的加载和执行。

如何阻止来自iframe的请求

2 个答案: