使用Iframe会带来安全风险吗？

Question

我的网站管理员有一个网站上的ssl在线商店，我想在我的网站上的特色。他说这可以用iframe来完成。在这家商店使用iframe是否存在任何安全风险，例如中间人攻击？或者这对任何使用它的客户来说都是安全的，因为原产地是受保护的？

Answer 1

尽管理论上iFrames在他们自己的环境中是安全加载的，但是它们存在一些安全问题，包括：

1. 它们可以用于ClickJacking攻击。例如，一个站点在iframe中加载另一个网站，然后在iframe上浮动用户名和密码文本框，因此人们认为他们在iframe中将这些输入到网站中，而实际上并非如此。
2. 要看到iframe正在加载的网站并不容易。例如，您加载了一个badbank.com框架，并使其看起来与goodbank.com完全一样。用户不知道哪个域已经加载，因为没有地址栏或绿色挂锁。

一般来说，建议网站使用X帧选项或内容安全策略HTTP报头来防止框架化。

对于像你这样做框架的网站(而不是被陷害)，你是在冒险你的用户。因此，如果您的网站被黑客入侵，这可能会导致上述问题。此外，我还在几个站点上工作过，当框架站点阻止它继续使用上面的标题时，框架突然崩溃。在你的网站上看起来很糟糕。

最后，框架破坏了一些使用web的基本方法(例如后退按钮)。

总之，我要提醒大家不要使用iFrames。