如何在Apache、Nginx和WordPress中实现CSP frame-ancestors？

通过实施CSP（内容安全策略）头部，保护您的网站免受点击劫持攻击

CSP是OWASP十大安全头部之一，通常被安全专家或工具推荐实施。有许多选项可用于构建策略，以强制执行您希望公开的Web资源的方式。

其中一个被称为frame-ancestors的指令在CSP版本2中引入，与frame-ancestors相比，该指令提供了更大的灵活性，能够以与X-Frame-Options相同的方式允许或禁止使用iframe、frame、object、embed和applet元素嵌入资源。

我认为当CSP与所有主要浏览器完全兼容时，X-Frame-Options将很快过时。截至目前，CSP frame-ancestors支持所有最新的浏览器版本，除了IE。

我不知道微软何时将在IE上提供支持。您可以随时在Can I Use site上检查浏览器的兼容性。

让我们看一下以下的实施步骤。

Apache HTTP

在Apache中注入任何头部都需要先决条件mod_headers。根据操作系统和版本的不同，但如果您使用的是Ubuntu和Apache 2.4，则可以使用a2enmod headers来启用它。

root@yaoweibin:/etc/apache2# a2enmod headers
Enabling module headers.
To activate the new configuration, you need to run:
  systemctl restart apache2
root@yaoweibin:/etc/apache2# systemctl restart apache2
root@yaoweibin:/etc/apache2#

注意：您可以在httpd.conf文件或您正在使用的任何有效配置文件中进行所有配置。

拒绝所有

与X-Frame-Options DENY类似。如果您不希望任何网站（包括自己）进行嵌入，则添加以下内容。

Header set Content-Security-Policy "frame-ancestors 'none';"

保存文件并重新启动Apache HTTP以生效。

我尝试嵌入网站，正如您所见，它被阻止了。

允许自己，但拒绝他人

与X-Frame-Options SAMEORIGIN类似，您可以添加以下内容。

Header set Content-Security-Policy "frame-ancestors 'self';"

允许自己和多个域名

X-Frame-Options没有选项允许多个域名。感谢CSP，您可以按如下方式执行。

Header set Content-Security-Policy "frame-ancestors 'self' 'yaoweibin.com' 'gf.dev' 'yaoweibin.dev';"

上述代码将允许从自己、yaoweibin.com、gf.dev和yaoweibin.dev嵌入内容。将这些域名更改为您自己的域名。

Nginx

与Apache HTTP部分中解释的概念和指令相同，只是添加头部的方式不同。在Nginx中，头部应添加在相应配置文件的server块下。

拒绝所有

add_header Content-Security-Policy "frame-ancestors 'none';";

拒绝所有，但不拒绝自己

add_header Content-Security-Policy "frame-ancestors 'self';";

允许多个域名

add_header Content-Security-Policy "frame-ancestors 'yoursite.com' 'example.com';";

上面的示例将允许在yoursite.com和example.come上嵌入内容。更改完成后，不要忘记重启Nginx服务器以测试策略。

WordPress

这取决于您如何托管WordPress。

如果您使用的是自托管的云端或VPS，那么您可能正在使用像Apache或Nginx这样的网络服务器。如果是这样的话，您可以按照上述提到的方法在网络服务器上实施，而不是在WordPress上实施。然而，如果您在shared hosting上或无法访问修改网络服务器，则可以利用插件。

要在WordPress中实施CSP，您可以使用Content Security Policy Pro plugin。

验证

完成实施后，您可以使用浏览器内置的开发者工具或链接_6来进行验证。

结论

CSP是一种强大的措施，用于防止网络漏洞。我希望上述说明能指导您如何在Apache和Nginx中实施frame-ancestors。