nginx - 如何在 nginx 中正确设置 X-Frame-Options Allow-From

Question

我试图在 Nginx 中设置 ALLOWED-FROM 但到目前为止我尝试的所有设置都导致以下 Chrome 错误:Invalid 'X-Frame-Options' header encountered when loading 'https://domain.com/#/register': 'ALLOW-FROM domain.com' is not a recognized directive. The header will be ignored.
我尝试过的这些选项是:(也尝试使用带有 https:// 前缀的 FQDN)

  add_header X-Frame-Options "Allow-From domain.com"; 
  add_header X-Frame-Options "ALLOW-FROM domain.com"; 
  add_header X-Frame-Options "ALLOW-FROM: domain.com";
  add_header X-Frame-Options "Allow-From: domain.com";
  add_header X-Frame-Options ALLOW-FROM "domain.com";
  add_header X-Frame-Options ALLOW-FROM domain.com;

Answer 1

在 Chrome 和 Safari 中，您需要使用 内容安全策略

Content-Security-Policy: frame-ancestors domain.com

您可以在此网站上查看更多详细信息:

https://developer.mozilla.org/en-US/docs/Web/Security/CSP/CSP_policy_directives