Как установить X-Frame-Options в качестве заголовка ответа в angularJS?

Question

Я получаю заголовок X-Frame-Options в ответе API, но, насколько я понимаю, чтобы предотвратить атаку clickjacking, мне нужно добавить его в код пользовательского интерфейса. Код пользовательского интерфейса (написанный в angularjs) развертывается на сервере Tomcat (версия 7.0.72). Я попытался добавить фильтры ниже в web.xml моего приложения.

<filter> 
     <filter-name>httpHeaderSecurity</filter-name> 
     <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class> 
     <async-supported>true</async-supported> 
     <init-param> 
      <param-name>antiClickJackingEnabled</param-name> 
      <param-value>true</param-value> 
     </init-param> 
     <init-param> 
      <param-name>antiClickJackingOption</param-name> 
      <param-value>DENY</param-value> 
     </init-param> 
    </filter> 

Тем не менее, я не вижу добавление заголовков. Может кто-то, пожалуйста, помогите мне разобраться в решении?

Answer 1

Я нашел решение. Заголовок ответа X-Frame-Options должен быть добавлен через web.xml на сервере Tomcat. Фильтр-сопоставление отсутствовал в моем web.xml, поэтому заголовки не добавлялись. Для всех, кто может столкнуться этот вопрос, я вывешиваю строки из web.xml здесь:

<filter> 
     <filter-name>httpHeaderSecurity</filter-name> 
     <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class> 
     <async-supported>true</async-supported> 
     <init-param> 
      <param-name>antiClickJackingEnabled</param-name> 
      <param-value>true</param-value> 
     </init-param> 
     <init-param> 
      <param-name>antiClickJackingOption</param-name> 
      <param-value>DENY</param-value> 
     </init-param> 
    </filter> 
    <filter-mapping> 
    <filter-name>httpHeaderSecurity</filter-name> 
    <url-pattern>/*</url-pattern> 
</filter-mapping> 
    <welcome-file-list> 
     <welcome-file>index.html</welcome-file> 
    </welcome-file-list> 

С этим, следующие заголовки добавляются: • X-Frame-Options • X-Content-Type -Опции • X-XSS-Protection

Если вы не укажете значения для каждого из этих заголовков, будет установлено значение по умолчанию для каждого из них. Вы можете найти значения по умолчанию в документах сервера Tomcat.