未配置X-frame-options屬性，http響應頭缺乏httponly屬性

首先，咱們須要瞭解爲何要配置X-frame-options，配置該屬性是爲了處理點擊劫持的漏洞。何爲點擊劫持？點擊劫持是一種惡意攻擊技術，主要表如今正常的頁面上嵌入一個惡意的透明的iframe,當用戶想要點擊正常頁面的連接時，實際上點擊的是透明的iframe頁面。 X-frame-options 值有三個 DENY:頁面中不容許存在iframe，即便是相同域名。 SAMEORIGIN:頁面能夠在相

>>阅读原文<<