spring-security - 允许在 HTML 框架内呈现网页

Question

我有两个 Web 应用程序:Web 应用程序 (web-app) 和报告 Web。我想在 <iframe> 中的 web-app 中嵌入报告 web .所以它被浏览器拒绝并出现错误:

X-Frame-Options: DENY

有什么帮助吗？

Answer 1

X-Frame-options 的值可以是 DENY(默认)、SAMEORIGIN 和 ALLOW-FROM uri。
根据 Spring Security 文档，您可以告诉 Spring 以这种方式覆盖添加自定义 header 的默认行为:

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .headers()
            .addHeaderWriter(new XFrameOptionsHeaderWriter(new WhiteListedAllowFromStrategy(Arrays.asList("www.yourhostname.com"))))
    ...
}

和 Spring 应附加 X-Frame-Options: ALLOW-FROM ...
或者

 .addHeaderWriter(new XFrameOptionsHeaderWriter(XFrameOptionsHeaderWriter.XFrameOptionsMode.SAMEORIGIN))

对于 X-Frame-Options:SAMEORIGIN 或使其完全禁用

http.headers().frameOptions().disable()