antiClickjack脚本与X-Frame-Options的区别、兼容及部署疑问

一、核心区别 #

• X-Frame-Options：这是HTTP响应头，属于服务器端的原生防护机制。它直接给浏览器发指令，明确页面是否允许被嵌入到iframe里，有三个可选值：

  • DENY：完全禁止任何页面嵌入当前页面
  • SAMEORIGIN：仅允许同域名下的页面嵌入
  • ALLOW-FROM uri：仅允许指定域名的页面嵌入
    它不需要前端代码配合，浏览器会直接拦截不符合规则的iframe嵌入，防护逻辑在浏览器层面完成，效率高且可靠。

• antiClickjack脚本：这是前端JavaScript实现的客户端防护。常见的思路是：检测当前页面是否在非同源的iframe中，如果是，就生成一个覆盖整个页面的透明遮罩层，阻止用户点击页面内容；或者直接隐藏页面核心内容、跳转到安全页面。它依赖浏览器执行JS代码，属于客户端的补充防护手段。

二、X-Frame-Options 在旧版浏览器中的局限性 #

没错，X-Frame-Options对旧版浏览器的支持并不完善：

• IE 8/9 仅部分支持，尤其是ALLOW-FROM参数在IE中存在兼容性问题，无法正常生效；
• IE 7及更早的浏览器完全不识别这个响应头，会直接忽略它，无法通过X-Frame-Options阻止页面被嵌入iframe，自然也就防不住点击劫持。

三、是否需要同时配置？ #

建议同时配置，理由如下：

• 现代浏览器优先靠X-Frame-Options：它是浏览器原生支持的防护，不需要依赖JS执行，从根源上拦截非法嵌入，防护更彻底；
• 旧版浏览器靠antiClickjack脚本补位：那些不支持X-Frame-Options的旧浏览器，大多能正常执行JS，脚本可以在客户端层面阻止用户点击被劫持的内容；
• 双重防护兜底：哪怕其中一种机制出问题（比如浏览器对X-Frame-Options解析异常，或者极端情况下JS被禁用——不过JS禁用时脚本失效，但X-Frame-Options依然能正常工作），另一种机制可以作为兜底，提升整体防护的安全性。

如果你的用户群体几乎没有旧版浏览器，只配置X-Frame-Options也足够，但从全面防护的角度，两者结合是更稳妥的方案。

内容的提问来源于stack exchange，提问作者user34791