在 Restful API 中添加“x-frame-options”有意义吗

Question

我们正在开发一个restful API来完成一些不同的事件。我们进行了 Nessus 漏洞扫描以查看安全漏洞。事实证明，我们有一些漏洞会导致点击劫持，并且我们已经找到了解决方案。为了处理问题，我已将

x-frame-options

添加为

SAMEORIGIN

。

我的问题是，既然我是一个 API，我是否需要处理点击劫持？我想第 3 方用户应该能够通过 iframe 访问我的 API，而我不需要处理这个问题。

我错过了什么吗？可以分享一下你的想法吗？

Answer 1

编辑 2019-10-07： @Taytay 的 PR 已合并，因此 OWASP 建议现在表示服务器应该发送 X-Frame-Options 标头。

原答案：

OWASP 建议客户端发送 X-Frame-Options 标头，但没有提及 API 本身。

我认为 API 返回点击劫持安全标头没有任何意义 - iframe 中没有任何内容可供点击！

Answer 2

这些建议不是针对网站，而是针对 REST 服务。

执行此操作有意义的场景正是OP提到的场景 - 运行漏洞扫描。

如果您没有返回正确的 X-Frame-Options 标头，扫描将失败。当向客户证明您的端点是安全的时，这一点很重要。

向客户提供一份合格报告比争论为什么缺少标头并不重要要容易得多。

添加 X-Frame-Options 标头不应影响端点使用者，因为它不是具有 iframe 的浏览器。

Answer 3

除了其他答案中所述的 OWASP 建议和原因之外，还可以针对包含敏感信息的可构建 API 响应进行合法攻击。请参阅：

GOTCHA：将网络钓鱼提升到一个全新的水平。

该攻击本质上是通过操纵敏感信息来欺骗目标用户向攻击者泄露信息。因此，无论是

X-Frame-Options 还是 Content-Security-Policy（使用 frame-ancestors 指令），API 响应都应限制为任意来源的框架。