东方通X-Frame-Options配置后仍被嵌入iframe，如何排查？

Question

东方通X-Frame-Options配置后仍被嵌入iframe，常见原因有三：一是配置未生效于目标响应路径（如仅配置在根路径，而嵌入页访问的是/api或/static子路径）；二是被后端应用（如Spring Boot、Java Filter）或反向代理（Nginx）覆盖/清除了该Header；三是配置值错误（如误写为`X-FRAME-OPTIONS: SAMEORIGIN`大小写敏感或拼写错误，东方通TongWeb/TongGateway实际要求严格小写且无空格）。此外，若启用CSP策略，`frame-ancestors`指令会优先于X-Frame-Options，导致后者被忽略。排查时应使用浏览器开发者工具→Network→Headers，确认目标响应中**确切存在且未被覆盖**的`X-Frame-Options`字段，并比对请求URL路径与配置作用域是否匹配；同时检查东方通控制台或server.xml/conf/web.xml中`<filter>`或``相关配置是否启用并正确拦截。</filter>

Answer 1

```html

一、现象确认：X-Frame-Options存在但iframe嵌入仍成功

使用浏览器开发者工具（F12 → Network → 选择目标请求 → Headers → Response Headers），验证响应中是否真实包含 X-Frame-Options 字段。注意：仅“配置了”不等于“生效了”——需逐请求比对，尤其关注嵌入页实际请求的URL路径（如 /api/v1/user 或 /static/app.js）是否落入东方通配置的作用域内。

二、路径作用域错配：配置未覆盖真实访问路径

• 东方通TongWeb/TongGateway中Filter或Web.xml的<url-pattern>默认为/*，但若显式配置为/，则仅匹配根路径，/api等子路径将被跳过；
• TongGateway控制台中“安全策略→HTTP头管理”若仅绑定到“/”虚拟主机路径，而前端嵌入请求走的是/portal/上下文，则策略失效；
• 验证方式：在TongWeb conf/web.xml 中检查Filter映射，或在TongGateway管理界面导出策略JSON，搜索"path"字段值。

三、Header被覆盖/清除：多层中间件竞争导致丢失

组件层级	典型覆盖行为	排查要点
Nginx反向代理	配置了proxy_hide_header X-Frame-Options或未透传	检查nginx.conf中proxy_pass_request_headers on;及是否有add_header重复设置
Spring Boot应用	启用spring-boot-starter-security时默认注入HstsHeaderWriter并可能覆盖	检查SecurityConfig.java中是否调用headers().frameOptions().disable()或自定义HeaderWriter

四、语法与规范陷阱：东方通对Header值的严格校验

东方通TongWeb 7.0+ 及 TongGateway 6.5+ 要求：
✅ 正确写法：X-Frame-Options: sameorigin（全小写、无空格、无引号、无BOM）
❌ 常见错误：X-FRAME-OPTIONS: SAMEORIGIN（大写）、X-Frame-Options: sameorigin（前导空格）、X-Frame-Options: "DENY"（引号包裹）
该问题在Windows编辑器保存UTF-8-BOM格式的配置文件时高频出现，建议用VS Code以UTF-8（无BOM）编码重存配置。

五、CSP优先级劫持：frame-ancestors指令静默废止X-Frame-Options

graph LR
  A[客户端发起iframe嵌入请求] --> B{响应头检查}
  B --> C[X-Frame-Options存在？]
  B --> D[Content-Security-Policy含frame-ancestors？]
  C -->|是| E[但被D覆盖]
  D -->|是| F[浏览器忽略X-Frame-Options]
  F --> G[嵌入成功→误判为XFO失效]

六、东方通专属配置路径与启用验证清单

1. TongWeb：检查$TONGWEB_HOME/conf/server.xml中<Valve className="org.apache.catalina.valves.RemoteIpValve">后是否追加<Valve className="org.apache.catalina.valves.HttpHeaderSecurityValve" xFrameOptions="sameorigin"/>；
2. TongGateway：登录控制台 → 策略中心 → HTTP安全头 → 检查“启用状态”“作用域路径”“Header名称大小写”“值合法性”四栏；
3. Java Filter方式：确认web.xml中<filter-mapping>的<url-pattern>覆盖所有静态资源与API路径，且Filter类doFilter()中未执行response.setHeader()二次覆盖。

七、端到端诊断流程图（推荐SOP）

flowchart TD
  S[发现iframe可嵌入] --> A[抓包确认目标URL响应头]
  A --> B{X-Frame-Options是否存在？}
  B -->|否| C[检查TongWeb/TongGateway策略绑定路径]
  B -->|是| D[检查值是否为strict小写sameorigin/deny]
  D --> E{是否存在CSP frame-ancestors？}
  E -->|是| F[调整CSP或移除XFO避免冲突]
  E -->|否| G[检查Nginx/Spring Boot是否覆盖]
  G --> H[定位最后写入Header的组件]
  H --> I[在该组件中强制setHeader并禁用覆盖逻辑]

八、生产环境避坑实践（5年+从业者重点关注）

在灰度发布中，务必对以下三类路径做独立验证：
① 静态资源路径（/static/xxx.css）——常被Nginx直接服务而绕过TongWeb；
② REST API路径（/api/**）——易被Spring Security Filter链提前拦截并重写Header；
③ WebSocket升级路径（/ws）——TongWeb默认不处理Upgrade请求的XFO，需单独配置UpgradeFilter。
建议编写自动化脚本，使用curl -I批量探测关键路径的Header返回，生成差异报告。

九、配置样例：TongWeb 7.2 server.xml 安全阀标准写法

<Valve className="org.apache.catalina.valves.HttpHeaderSecurityValve"
       xFrameOptions="sameorigin"
       xContentTypeOptions="nosniff"
       xXssProtection="1; mode=block"
       hstsMaxAgeSeconds="31536000"
       hstsIncludeSubDomains="true"
       hstsPreload="true" />

⚠️ 注意：该Valve必须置于<Engine>节点内，且不能与RemoteIpValve顺序颠倒；若已存在同名Valve，须合并而非并列声明，否则后者覆盖前者。

十、终极验证方法：跨域+同源双场景压测

• 同源测试：在https://a.example.com页面中嵌入<iframe src="https://a.example.com/app">，验证sameorigin生效；
• 跨域测试：在https://b.example.net页面中嵌入同一URL，验证拒绝加载（DevTools Console报错Refused to display ... in a frame because it set 'X-Frame-Options' to 'sameorigin'）；
• 补充验证：curl -k -I https://a.example.com/api/test | grep -i "x-frame" —— 排除浏览器缓存干扰，直击服务端原始响应。

```