cross-domain - 内容安全策略 + 框架祖先

Question

我试图阻止我的内容被加载到 IFrame，所以我实现了 Content-Security-Policy header :

Response.AddHeader("Content-Security-Policy", "frame-ancestors *.twitter.com");

为了在各种浏览器中进行测试，我将其设置为 twitter，希望当我构建我的内容时它会崩溃。

但是，我在 chrome 中收到以下警告，但仍显示内容。

Refused to display 'http://corsupport.azurewebsites.net/sandbox in a frame because an ancestor violates the following Content Security Policy directive: "frame-ancestors *.twitter.com".

这项政策相当新，所以任何建议都会很好。

我已经成功实现

Response.AddHeader("Access-Control-Allow-Origin", 'http:localhost:61021');    

Answer 1

这实际上是一个 chrome 错误，现在应该在开发 channel 中修复。

https://code.google.com/p/chromium/issues/detail?can=2&start=0&num=100&q=&colspec=ID%20Pri%20M%20Iteration%20ReleaseBlock%20Cr%20Status%20Owner%20Summary%20OS%20Modified&groupby=&sort=&id=129139