iframe

Google 在愚人節玩笑中造成的安全問題...

Google 在愚人節時拿出養很久不知道做什麼的 domain 出來用：「https://com.google/」，但也因此造成了安全性問題：「Google’s April Fool’s prank inadvertently broke their security」。

問題在於正常的 Google 頁面有這個 HTTP header 可以避免 iframe (以及 clickjacking)：

X-Frame-Options: SAMEORIGIN

但在加上 igu=2 的參數後不會有這個 HTTP header。雖然現在已經失效了，但當天也被 Netcraft 通報 XD

不知道 Frame Buster 是升級到 WordPress 3.9 後才不會動，還是不會動很久了 (剛好是在今天升級到 WordPress 3.9)，只好去找替代品...

測了一下確認「WP No Frame」是會動的，不過看了 HTTP response header，好像是純 javascript 的方案，沒有包括 X-Frame-Options，有點可惜，但先這樣放著跑吧...

在「Play safely in sandboxed IFrames」這篇文章提到 HTML5 有對 iframe 制定 sandbox 屬性，這可以讓開發者比較容易處理安全性問題。

比較讓我驚訝是開頭的 browser support 清單是主流全部支援，但又沒寫版號：

不過實際到「Can I use sandbox attribute for iframes?」查，發現沒那麼美好 XD

主要的瀏覽器中，IE 要到 10 才有支援，另外 Firefox 剛支援沒多久 (17 以及之後的版本，目前是 18)，看起來要等 Windows 7 的 IE8 被淘汰？