php - 如何仅允许白名单网站嵌入 iframe？

Question

我有一个表单，我想将其嵌入到我的白名单中的网站中。

其他试图嵌入它的网站应该只会得到一个错误页面。

<iframe src="https://domain.tld/getForm.php?embed=1&formId=123456"></iframe>

我希望我可以在 getForm.php 中使用 $_SERVER['HTTP_REFERER'] 来检查嵌入网站，但它不起作用。

有人知道最佳实践或任何解决方法吗？

提前致谢!

Answer 1

内容安全策略 header 现在是推荐的方法。

来自 MDN 的示例:

// iframe can be embedded in pages on the origin and also on https://www.example.org
Content-Security-Policy: frame-ancestors 'self' https://www.example.org;

有关详细信息，请参阅:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors