Clickjacking: X-Frame-Options header missing

也是修复漏洞，修复方式是在web.config里加上

1 <system.webServer>
2   <httpProtocol>
3     <customHeaders>
4       <add name="X-Frame-Options" value="值" />
5     </customHeaders>
6   </httpProtocol>
7 </system.webServer>

View Code

里面的值，我一开始没管啥，直接按照网上的给了一个DENY

然后国庆回来，发现网站的弹窗全部不能用了....

之后仔细查了一下X-Frame-Options，把值改成SAMEORIGIN，然后就正常使用了

顺带贴一下我找到的值吧：

DENY 禁止弹窗
SAMEORIGIN 仅允许同域名弹窗
ALLOW-FROM http://xxxxx.com/ 允许来自http://xxxxx.com/的弹窗