Cách ngăn IFRAME chuyển hướng cửa sổ cấp cao nhất

Một số trang web có mã để "thoát ra" các IFRAMEbao vây, nghĩa là nếu một trang Ađược tải dưới dạng IFRAMEbên trong trang mẹ, Pmột số Javascript Asẽ chuyển hướng cửa sổ bên ngoài tới A.

Thông thường, Javascript này trông giống như thế này:

<script type="text/javascript">
  if (top.location.href != self.location.href)
     top.location.href = self.location.href;
</script>

Câu hỏi của tôi là: Là tác giả của trang mẹ Pvà không phải là tác giả của trang bên trong A, làm cách nào tôi có thể ngăn chặn Aviệc đột phá này?

PS Có vẻ như tôi nên vi phạm an ninh chéo trang, nhưng không phải vậy.

Hãy thử sử dụng thuộc tính onb Beforeunload, điều này sẽ cho phép người dùng chọn xem anh ta có muốn điều hướng khỏi trang không.

Ví dụ: https://developer.mozilla.org/en-US/docs/Web/API/Window.onb Beforeunload

Trong HTML5, bạn có thể sử dụng thuộc tính hộp cát. Xin vui lòng xem câu trả lời của Pankrat dưới đây. http://www.html5rocks.com/en/tutorials/security/sandboxed-iframes/

Với HTML5, thuộc tính hộp cát iframe đã được thêm vào. Tại thời điểm viết bài này hoạt động trên Chrome, Safari, Firefox và các phiên bản IE và Opera gần đây nhưng thực hiện khá nhiều thứ bạn muốn:

<iframe src="url" sandbox="allow-forms allow-scripts"></iframe>

Nếu bạn muốn cho phép chuyển hướng cấp cao nhất chỉ định sandbox="allow-top-navigation".

Tôi sử dụng hộp cát = "..."

• biểu mẫu cho phép biểu mẫu
• cho phép cửa sổ bật lên cho phép cửa sổ bật lên
• khóa con trỏ cho phép khóa con trỏ
• allow-same-origin cho phép tài liệu duy trì nguồn gốc của nó
• tập lệnh cho phép thực thi JavaScript và cũng cho phép các tính năng tự động kích hoạt
• allow-top-navigation cho phép tài liệu thoát ra khỏi khung bằng cách điều hướng cửa sổ cấp cao nhất

Điều hướng hàng đầu là những gì bạn muốn ngăn chặn, vì vậy hãy bỏ qua nó và nó sẽ không được phép. Bất cứ điều gì còn lại sẽ bị chặn

Ví dụ.

        <iframe sandbox="allow-same-origin allow-scripts allow-popups allow-forms" src="http://www.example.com"</iframe>

Sau khi đọc thông số w3.org . Tôi tìm thấy tài sản hộp cát.

Bạn có thể đặt sandbox="", điều này ngăn iframe chuyển hướng. Điều đó được nói rằng nó sẽ không chuyển hướng iframe. Bạn sẽ mất nhấp chuột về cơ bản.

Ví dụ ở đây: http://jsfiddle.net/ppkzS/1/
Ví dụ không có hộp cát: http://jsfiddle.net/ppkzS/

Tôi biết đã lâu rồi kể từ khi câu hỏi được thực hiện nhưng đây là phiên bản cải tiến của tôi, nó sẽ đợi 500ms cho bất kỳ cuộc gọi tiếp theo nào chỉ khi iframe được tải.

<script type="text/javasript">
var prevent_bust = false ;
    var from_loading_204 = false;
    var frame_loading = false;
    var prevent_bust_timer = 0;
    var  primer = true;
    window.onbeforeunload = function(event) {
        prevent_bust = !from_loading_204 && frame_loading;
        if(from_loading_204)from_loading_204 = false;
        if(prevent_bust){
            prevent_bust_timer=500;
        }
    }
    function frameLoad(){
        if(!primer){
            from_loading_204 = true;
            window.top.location = '/?204';
            prevent_bust = false;
            frame_loading = true;
            prevent_bust_timer=1000;
        }else{
            primer = false;
        }
    }
    setInterval(function() {  
        if (prevent_bust_timer>0) {  
            if(prevent_bust){
                from_loading_204 = true;
                window.top.location = '/?204';
                prevent_bust = false;
            }else if(prevent_bust_timer == 1){
                frame_loading = false;
                prevent_bust = false;
                from_loading_204 = false;
                prevent_bust_timer == 0;
            }



        }
        prevent_bust_timer--;
        if(prevent_bust_timer==-100) {
            prevent_bust_timer = 0;
        }
    }, 1);
</script>

và onload="frameLoad()"và onreadystatechange="frameLoad();"phải được bổ sung vào khung hoặc iframe.

Tôi đã tìm thấy một số hack hữu ích về điều này:

Sử dụng JS làm cách nào tôi có thể ngăn các Ifram con chuyển hướng hoặc ít nhất nhắc nhở người dùng về chuyển hướng

http: //www.codinghorror.com/blog/2009/06/we-done-been-fazed.html

http://coderrr.wordpress.com/2009/02/13/preventing-frame-busting-and-click-jacking-ui-redressing/

Vì trang bạn tải bên trong iframe có thể thực thi mã "break out" với setInterval, onb Beforeunload có thể không thực tế, vì nó có thể khiến người dùng lúng túng với 'Bạn có chắc chắn muốn rời đi không?' hộp thoại.

Ngoài ra còn có thuộc tính bảo mật iframe chỉ hoạt động trên IE & Opera

:

Trong trường hợp của tôi, tôi muốn người dùng truy cập trang bên trong để máy chủ sẽ thấy ip của họ như một khách truy cập. Nếu tôi sử dụng kỹ thuật proxy php, tôi nghĩ rằng trang bên trong sẽ thấy ip máy chủ của tôi là khách truy cập nên không tốt. Giải pháp duy nhất tôi có được cho đến nay là onb Beforeunload. Đặt cái này trên trang của bạn:

<script type="text/javascript">
    window.onbeforeunload = function () {                       
         return "This will end your session";
    }
</script>

Điều này hoạt động cả trong firefox và tức là, đó là những gì tôi đã thử nghiệm. bạn sẽ tìm thấy các phiên bản sử dụng thứ gì đó như evt.return (bất cứ thứ gì) tào lao ... không hoạt động trong firefox.

Bằng cách đó, bạn có thể kiểm soát mọi hành động của trang có khung mà bạn không thể. Chính sách nguồn gốc cùng tên được áp dụng.