如何防止我的 Prestashop 网站上的 Clickjacking 攻击？答案

【问题标题】：How can I prevent Clickjacking attack on my Prestashop website?如何防止我的 Prestashop 网站上的 Clickjacking 攻击？
【发布时间】：2020-02-12 10:36:03
【问题描述】：

我添加了

<meta http-equiv="X-Frame-Options" content="deny">

在 header.tpl 文件中，但它不起作用并引发错误。

X-Frame-Options 只能通过与文档一起发送的 HTTP 标头来设置。里面可能没有设置。

我还添加了

Header always append X-Frame-Options SAMEORIGIN

.htaccess 文件中的行。但这也行不通。

那么如何防止我的网站上的点击劫持？

供参考：Clickjacking Defense Cheat Sheet | OWASP 和 X-Frame-Options - HTTP

【问题讨论】：

为什么您认为响应标头不起作用？服务器会发送吗？这是正确的解决方案。
好的。但是在 cPanel 中，如何在 httpd.conf 中添加标头？

标签： security prestashop-1.6 x-frame-options clickjacking client-side-attacks

【解决方案1】：

我建议您编辑 PrestaShop 根文件夹安装中的 .htaccess，并在“# ~~start~~ 不要删除...”标识的行之前添加以下块：

# Extra Security Headers
<IfModule mod_headers.c>
   Header set Content-Security-Policy "default-src 'unsafe-inline' 'unsafe-eval' 'self' *.googleapis.com *.gstatic.com;"
   Header set X-XSS-Protection "1; mode=block"
   Header always append X-Frame-Options SAMEORIGIN
   Header set X-Content-Type-Options nosniff
   Header set Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
</IfModule>

这将提供以下保护：点击劫持 - 内容嗅探 - XSS 攻击

【讨论】：