李大仁博客

利用网页内嵌Frame来盗链和流量导入比较常见，也可以用于XSS攻击，如果中招的话，可以通过设置 X-Frame-Options到HTTP响应头来解决。解决方法只对支持X-Frame-Options的浏览器有效。

X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页面可否在 <frame>, <iframe> 或者 <object> 中展现的标记。网站可以使用此功能，来确保自己网站的内容没有被嵌到别人的网站中去，也从而避免了点击劫持 (clickjacking) 的攻击。

使用HTTP 响应头信息中的设置 X-Frame-Options属性

使用 X-Frame-Options的属性参数：

 DENY：表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

 SAMEORIGIN：表示该页面可以在相同域名页面的 frame 中展示。

 ALLOW-FROM：表示该页面可以在指定来源的 frame 中展示。

如果你自己不用frame也要防止别人用frame可以设置为DENY，如果你自己用frame但要防止别人用frame可以设置为SAMEORIGIN

在Nginx的配置中增加

add_header X-Frame-Options SAMEORIGIN;

在Haproxy的配置增加

rspadd X-Frame-Options:\ SAMEORIGIN

即可有效避免Frame的XSS攻击。

原理参考：
https://developer.mozilla.org/zh-CN/docs/Web/HTTP/X-Frame-Options