如何实现仅允许通过IFRAME访问网站？及请求头判断疑问

一、Stack Overflow判断请求来自IFRAME的依据 #

Stack Overflow主要通过两个HTTP请求头字段识别请求是否来自IFRAME：

• Sec-Fetch-Dest：现代浏览器会自动添加该请求头，当请求来自IFRAME时，字段值为iframe。
• Referer：如果IFRAME嵌入在某网页中，请求的Referer头会包含嵌入页面的URL，可借此判断请求是否来自第三方页面的IFRAME。

另外补充：Stack Overflow阻止自身页面被IFRAME嵌入，是通过响应头设置X-Frame-Options: SAMEORIGIN或Content-Security-Policy: frame-ancestors 'self'实现的，这两个是限制页面被嵌入的规则，并非识别请求来源的字段。

二、Apache配置仅允许IFRAME访问（禁止直接访问） #

结合你熟悉的.htaccess，可以通过请求头判断实现需求，以下是具体方案：

方案1：基于Sec-Fetch-Dest头（现代浏览器兼容） #

该字段是Chrome、Firefox等现代浏览器支持的标准头，能精准识别IFRAME请求：

RewriteEngine On
# 非IFRAME请求且非OPTIONS预检请求时，返回403禁止访问
RewriteCond %{HTTP:Sec-Fetch-Dest} !^iframe$
RewriteCond %{REQUEST_METHOD} !OPTIONS
RewriteRule ^ - [R=403,L]

方案2：基于Referer头（兼容旧浏览器） #

若需兼容不支持Sec-Fetch-Dest的旧浏览器，可检查Referer是否来自你的域名（替换yourdomain.com为实际域名），仅允许自身页面嵌入的IFRAME：

RewriteEngine On
# 放行OPTIONS预检请求
RewriteCond %{REQUEST_METHOD} !OPTIONS
# 直接访问（Referer为空）或来自非自身域名时，返回403
RewriteCond %{HTTP:Referer} !^https?://(www\.)?yourdomain\.com/ [NC]
RewriteRule ^ - [R=403,L]

方案3：混合判断（兼顾新旧浏览器） #

结合两种逻辑，最大化兼容性：

RewriteEngine On
RewriteCond %{REQUEST_METHOD} !OPTIONS
# 既不满足IFRAME的Sec-Fetch-Dest，Referer也不符合要求时，返回403
RewriteCond %{HTTP:Sec-Fetch-Dest} !^iframe$
RewriteCond %{HTTP:Referer} !^https?://(www\.)?yourdomain\.com/ [NC]
RewriteRule ^ - [R=403,L]

注意事项 #

• Referer头可能因用户隐私设置被浏览器屏蔽，这种情况方案2会误拦截，优先推荐方案1或混合方案。
• OPTIONS是CORS预检请求，必须放行，否则会影响正常的IFRAME嵌入流程。
• 可根据需求调整返回码，比如用404代替403，或重定向到指定页面。

内容的提问来源于stack exchange，提问作者ControlAltDel