如何覆蓋頁面級別的X-Frame-Options HTTP標頭的值

Question

我有一個.Net Web應用程序，其中使用了一些iframe和框架集。爲了保護我的網站免遭跨框架腳本攻擊，我打算在IIS或Global.asax中添加一個值爲「SAMEORIGIN」的HTTP響應頭「X-Frame-Options」。這就是我所說的文章：

http://blogs.microsoft.com/cybertrust/2009/02/05/clickjacking-defense-in-ie8/

但是，可能有這樣一個場景，其實我是想顯示的iframe內的特定頁面上從不同的域的網頁。那麼，是否可以將「僅適用於該頁面的X-Frame-Options」標題的設置覆蓋爲「允許 - 從」並指定我想允許的站點？如果是的話，我該怎麼做？如果我覆蓋此頁面的設置，這也會改變我的全局設置值？

Answer 1

您最好的選擇可能是在每個頁面上設置標題。您可以擁有一個母版頁，其中所有其他頁面都從其繼承，然後單個頁面可以覆蓋母版頁擁有的頁眉屬性。