小小轰G
机箱微型固体颗粒清洁工程师
|
清华同方
古理线大法传人
获得徽章 0
- 之前知道iframe页面嵌入有安全限制，以为只是被嵌入方做限制，防止自己被其他网站使用。
今天爆出来才发现嵌入方也需做限制，防止嵌入其他站点的iframe。
问ai的：为什么需要 “双向限制”？
只限制 A 的frame-src：A 能确保自己不嵌恶意页面，但 B 仍可能被其他陌生站点嵌入（B 的安全无法保障）；
只限制 B 的frame-ancestors：B 能防止被陌生站点嵌入，但 A 可能因漏洞被注入恶意 iframe（A 的用户体验受影响）；
双向限制：A 主动控制嵌入范围，B 被动拒绝非法来源，形成安全闭环，同时保护双方的安全和利益。展开评论1
![[吃瓜群众]](http://lf-web-assets.juejin.cn/obj/juejin-web/xitu_juejin_web/img/jj_emoji_10.42a731c.png)