指定自定义HTTP响应标头

若要使 Microsoft IIS 能够定义自定义 HTTP 响应标头以便所有页面自动以 EmulateIE 模式呈现 您可以使用以下 nfig 示例

（仅适用于IIS IIS早期版本没有system webServer一节）

nfig    <?xml version= encoding= utf ?>    <configuration>       <system webServer>          <Protocol>             <customHeaders>                <clear />                <add name= X UA Compatible value= IE=EmulateIE />             </customHeaders>          </Protocol>       </system webServer>    </configuration>

您也可以在基于 Windows Server 的计算机上配置 IIS 以包含自定义 HTTP 响应标头 步骤如下

依次单击 开始 管理工具 然后单击 Internet Information Services (IIS) 管理器

在 连接 窗格中 展开服务器的节点 然后展开 站点

单击要添加自定义 HTTP 响应标头的网站

在网站窗格中 双击 IIS 部分中的 HTTP 响应标头

在 *** 作 下 单击 添加

在 名称 框中 键入 X UA Compatible 在 值 框中 键入 IE=EmulateIE

单击 确定

若要将 IIS 及早期版本配置为包含自定义 HTTP 响应标头 请按照下列步骤进行 *** 作

依次单击 开始 运行 然后键入 inetmgr exe 并单击 确定

展开所需服务器 然后展开 网站

右键单击所需网站 然后单击 属性

单击 HTTP 标头 选项卡

在 自定义 HTTP 标头 下 单击 添加

在 自定义标头名称 框中 键入 X UA Compatible

在 自定义标头值 框中 键入 IE=EmulateIE

lishixinzhi/Article/program/net/201311/12388

X-Frame-Options 响应头

X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页面可否在 <frame>, </iframe>或者 <object>中展现的标记。网站可以使用此功能，来确保自己网站的内容没有被嵌到别人的网站中去，也从而避免了点击劫持 (clickjacking) 的攻击。

使用 X-Frame-Options

X-Frame-Options 有三个值:

DENY

表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。

SAMEORIGIN

表示该页面可以在相同域名页面的 frame 中展示。

ALLOW-FROM uri

表示该页面可以在指定来源的 frame 中展示。

换一句话说，如果设置为 DENY，不光在别人的网站 frame 嵌入时会无法加载，在同域名页面中同样会无法加载。另一方面，如果设置为 SAMEORIGIN，那么页面就可以在同域名页面的 frame 中嵌套。

配置 Apache

配置 Apache 在所有页面上发送 X-Frame-Options 响应头，需要把下面这行添加到 ‘site’ 的配置中:

Header always append X-Frame-Options SAMEORIGIN

配置 nginx

配置 nginx 发送 X-Frame-Options 响应头，把下面这行添加到 ‘http’, ‘server’ 或者 ‘location’ 的配置中:

add_header X-Frame-Options SAMEORIGIN

配置 IIS

配置 IIS 发送 X-Frame-Options 响应头，添加下面的配置到 Web.config 文件中:

<system.webServer>

...

<httpProtocol>

<customHeaders>

<add name="X-Frame-Options" value="SAMEORIGIN" />

</customHeaders>

</httpProtocol>

...

</system.webServer>

结果

在 Firefox 尝试加载 frame 的内容时，如果 X-Frame-Options 响应头设置为禁止访问了，那么 Firefox 会用 about:blank 展现到 frame 中。也许从某种方面来讲的话，展示为错误消息会更好一点。

---