internet-explorer - Internet Explorer的内容安全策略(CSP)解决方法

Question

我们正在建立一个ASP.NET网站，并且只允许某些可以iFrame我们的网站的域名。 Internet Explorer不支持CSP。我正在设置类似
Response.AddHeader("Content-Security-Policy", "frame-ancestors mydomain1.com mydomain2.com")。

每个人如何处理Internet Explorer。我读过IE支持X-Content-Security-Policy，但它没有frame-ancestors。

我也通过执行以下操作删除了IIS添加的默认X-Frame-Options header

Response.Headers.Remove("X-Frame-Options")

Answer 1

Microsoft建议的解决方案如下:

内部

，将domain1.com和domain2.com列入白名单

嵌入iframe URL时

，请在URL中添加一个指定来源的参数:iframe src =“http://example.org/frame.html?origin=http://domain1.com”

在服务器上的

中，检查原始值是否已列入白名单。使用它来设置X-Frame-Options:ALLOW-FROM http://domain1.com

您也可以检查Referer header (如果存在)。