当服务器响应不是 HTML 格式时，是否推荐使用 X-Frame-Options 标头？

Question

我目前正在审核 API，所有端点都以 JSON 格式向我发送响应。 我在 OWASP 网站上看到，当服务器响应 不是 HTML 格式时，只有 CSP、Permissions-Policy 和 Referrer-Policy 标头 不是必需的。

我的问题是：为什么不包含 X-Frame-Options 标头？

此标头可防止网页被 iframe 化，因此可能容易受到 clickjacking 攻击。 对于 HTML 以外的响应格式，我不认为拥有此标头有什么意义。

Answer 1

您提供的屏幕截图的文档，https://cheatsheetseries.owasp.org/cheatsheets/REST_Security_Cheat_Sheet.html#security-headers，屏幕截图上方有一个表格，其中包含所有 API 响应的建议标头，包括X-Frame-Options 和 Content-Security-Policy 框架祖先。您显示的表格列出了 API 可能返回 html 时应包含的附加标头。