受信任网站列表中的iframe

Question

我是iframe及其安全漏洞的新手。我有网站A需要嵌入网站列表上的iframe。这是有趣的部分。

• 受信任网站列表和iframe共享同一个域。
• 只有受信任网站列表才能使用iframe A
• 如果不受信任的网站尝试iframe A，则应呈现一些错误。

我知道有些地方使用某种标记化系统来做这件事。有没有人知道或有一些很好的参考来做到这一点？

Answer 1

好吧，你不能阻止人们构建你的网站，因为你不能控制他们的代码。

然而，你可以：

• 使用framebuster将您的网站排到最顶层（从iframe退出并进入主窗口）。

• 检查parent window's url（构建您网站的网站的网址）。它只适用于相同的域名，这意味着如果另一个域名正在关注你，你就无法获得父网址（“啊哈！某人正在构建你的网站！”）。如果您可以获得网址，则顶级网站来自您的域名。在此之后，您唯一需要做的就是检查该网站是否属于您域中受信任网站的一部分。