asp.net-mvc - MVC 5 阻止通过 Iframe 访问内容

Question

自从从 MVC4 升级到 MVC5 以来，我注意到我的网页中添加了一个额外的服务器 header :

X 框架选项:SAMEORIGIN

我了解添加此标记的安全优势，但其中一个页面应该包含在其他项目(在其他域上)的 iframe 中，这个额外的 header 会阻止这种情况发生。

我已经验证它不是托管 IIS7 服务器添加 header ，当我降级回 MVC4 时 - header 消失了。

有人知道如何从 MVC5 中删除此默认值吗？

Answer 1

MVC5 自动添加带有 SAMEORIGIN 的 HTTP header X-Frame-Options。这会阻止您的网站加载到 iframe 中。

但是我们可以在 Global.asax.cs 的 Application_Start 中关闭此功能。

示例

protected void Application_Start()
{
    AntiForgeryConfig.SuppressXFrameOptionsHeader = true;
}

更新

我写了一篇关于此的文章MVC5 prevents your website being loaded in an IFRAME