X-Frame-Options 옵션 정리

X-Frame-Options을 사용하는 이유는 웹 사이트에서 홈페이지를 각 프레임 별로 개발을 하게 되면, 프레임 접근에 따른 URL이 각각 다를 수 있다. 이 URL이 다를 경우에 프레임을 접근할 경우에는 다른 URL에서 접근이 가능하고, 보안상으로도 위험하기 때문에 이 X-Frame-Options을 사용해야 한다. 물론, 꼭 사용하라는 소리는 아니다. 1가지의 방법일 뿐이다.

 

X-Frame-Options

X-Frame-Options의 옵션은 3가지의 설정을 할 수 있다.

 

- X-Frame-Options : DENY

- X-Frame-Options : SAMEORIGIN

- X-Frame-Options : ALLOW-FROM + URL

---

1. X-Frame-Options : DENY

X-Frame-Options : DENY 기능은 어떤 URL이 오더라도 Frame에 화면을 띄우지 않게 설정하는 방법이다.

response.setHeader("X-Frame-Options", "DENY");

 

2. X-Frame-Options : SAMEORIGIN

X-Frame-Options : SAMEORIGIN 기능은 같은 도메인일 경우, Frame에 화면을 띄워 볼 수 있다.

response.setHeader("X-Frame-Options", "SAMEORIGIN");

 

3. X-Frame-Options : ALLOW-FROM + URL

X-Frame-Options : ALLOW-FROM + URL 기능은 특정한 URL일 경우에만 Frame에 화면을 띄워 볼 수 있다.

 

아래의 코드처럼, 보안을 위해 X-Frame-Options : ALLOW-FROM + URL을 설정할 수 있다.

response.setHeader("X-Frame-Options", "ALLOW-FROM " + URL1);
response.setHeader("X-Frame-Options", "ALLOW-FROM " + URL2);
response.setHeader("X-Frame-Options", "ALLOW-FROM " + URL3);