本文详解JavaScript判断页面是否被iframe嵌套的三种常用方式，包括frameElement属性、frames长度对比及self与top比较。同时介绍防止网页被恶意嵌套的多种策略，从简单的location重定向到设置about:blank，再到服务端Header控制，分析各方法的可靠性与局限性，帮助用户根据实际需求选择合适的安全措施。
判断是否在iframe中的方法
在Web开发中，识别当前页面是否处于iframe框架内是一个常见需求。
以下是几种常用的JavaScript检测代码实现。
//方式一
if (self.frameElement && self.frameElement.tagName == "IFRAME") {
alert('在iframe中');
}
//方式二
if (window.frames.length != parent.frames.length) {
alert('在iframe中');
}
//方式三
if (self != top) {
alert('在iframe中');
} 防止网页被iframe嵌套的策略
除了检测，还需要考虑如何防止其他网站通过iframe嵌套自己的页面。
将以下代码添加到页面的<head>标签内部即可生效。
这段脚本的核心逻辑是检查当前窗口与顶层窗口的关系。
<script language="javascript">
<!--
if (top.location != location)
{
top.location.href = location.href;
}
//-->
</script>
//或
<script language="javascript">
if(self!=top){top.location.href=self.location.href;}
</script> 其效果是，当有人尝试通过iframe嵌入你的网站页面时，该页面会自动跳转到你指定的目标地址，从而打破嵌套状态。
然而，这种方法并非绝对可靠，存在被绕过的可能性。
攻击者可以使用特定的iframe配置来规避上述JavaScript检查。
例如，通过重置location和navigate变量，并强制设置frames[0].location.href为空字符串，可以阻止页面跳转。
<iframe src="你的页面地址" name="tv" marginwidth="0" marginheight="0" scrolling="No" noResize frameborder="0" id="tv" framespacing="0" width="580" height="550" VSPACE=-145 HSPACE=-385></iframe>
<script language="javascript">
var location="";
var navigate="";
frames[0].location.href="";
</script> 若要实现更可靠的防护，需要采用更严格的策略。
彻底防止iframe嵌套的最可靠方法是将页面重定向到一个空白页面或自身。
在代码中，可以将location.href赋值为空字符串，或者指向你自己的页面URL。
这种重定向逻辑确保即使外层框架尝试加载，内容也无法在嵌套环境中正常显示。
<script language="javascript">
if(top != self){
location.href = "about:blank";
}
</script> 此外，还有一种完全屏蔽iframe加载的方法，即通过HTTP响应头进行控制。
在服务器端添加特定的Header指令。
header("X-Frame-Options: deny");
header("X-XSS-Protection: 0"); 配置不当或强制拒绝时，浏览器会报错“Load denied by X-Frame-Options”，明确拒绝iframe加载请求。
以上介绍了判断及防止iframe嵌套的主要技术手段，希望能对网站安全建设有所帮助。