使用Iframe会带来安全风险吗？

Question

我的网站管理员在一个网站上有一个网上商店，我希望在我的网站上有这个网站。他说这可以通过iframe来完成。在这家商店使用iframe是否存在安全风险，例如中间人攻击？或者对于使用它的客户来说这是安全的，因为原产地受到保护？

Answer 1

虽然iFrame是，在理论上，安全地在自己的环境中加载，有与他们几个安全问题，包括：

1. 它们可用于ClickJacking攻击。例如，一个网站在iframe中加载另一个网站，然后在iframe之上放置用户名和密码文本框，以便人们认为他们将这些内容输入到iframe中的网站上，而实际上它们不是。

2. 看到iframe加载的网站并不容易。例如，您加载一个badbank.com框架，并使其看起来完全像goodbank.com。由于没有地址栏和绿色挂锁，用户不知道已加载哪个域。

一般而言，建议网站使用X-Frame-Options或Content Security Policy HTTP Headers防止成帧，以防止成帧。

对于像您这样的网站进行构图（而不是被构图），您因此冒用户的风险。所以如果你的网站被黑客攻击，那么这可能会导致上述问题。此外，我曾在两个站点上工作，当框架站点使用上述标题阻止框架再次陷入框架时，框架突然崩溃。在您的网站上看起来很糟糕。

最终取景会打破一些使用网络的基本方式（例如后退按钮）。

总而言之，我会告诫不要使用iFrames。