API审计疑问：为何非HTML格式响应下X-Frame-Options未被OWASP列为非必要头部

嗨，我来帮你梳理下这个疑问哈！

你现在正在做API审计，所有接口都返回JSON格式的响应，之前看到OWASP提到：当服务器返回的不是HTML格式时，CSP、Permissions-Policy和Referrer-Policy这几个头部是没必要添加的，但你纳闷为啥X-Frame-Options没被归到这个非必要列表里——毕竟这个头部的核心作用是防止HTML页面被iframe嵌入，进而避免点击劫持攻击，而对于JSON这类非HTML响应，你也觉得它确实没什么存在的意义，对吧？

其实这里的关键点在于X-Frame-Options的适用场景和浏览器的处理逻辑：

• 首先，点击劫持的本质是恶意页面通过iframe嵌入正常HTML页面，诱导用户在不知情的情况下点击嵌入的页面元素，整个攻击链条完全依赖浏览器能渲染出可交互的HTML内容。而JSON、XML这类非HTML资源，浏览器拿到后只会显示纯文本或代码，根本无法渲染成可交互的页面，就算被iframe加载了，也不存在被用来做点击劫持的可能。
• 那为啥OWASP没把它和另外三个头部列在一起？可能是因为这几个头部的“非必要性”逻辑有差异：CSP、Permissions-Policy、Referrer-Policy都是完全围绕HTML页面的行为、资源加载或隐私规则设计的，在非HTML场景下彻底失去作用；而X-Frame-Options虽然主要针对HTML，但浏览器本身就会自动忽略它对非HTML资源的限制——OWASP可能觉得这种“非必要性”是默认的常识，不需要特意列出来，而另外三个头部则需要明确提醒大家在非HTML场景下无需添加。
• 当然，你的判断是完全正确的：对于JSON这类非HTML格式的API响应，X-Frame-Options头部确实没有实际作用，没必要特意添加。

备注：内容来源于stack exchange，提问作者Antoine Hazebrouck