ruby-on-rails - 如何在 Rails 4 Controller 中为 "allow-from" "X-Frame-Options"多个域？

Question

在我正在处理的 Ruby on Rails 4 应用程序中，我需要制作一个页面，该页面将被拉入托管在 foo.bar.com 上的 iframe 中。服务器，所以我有这个 Controller 方法:

def iframed_page
  response.headers["X-FRAME-OPTIONS"] = "ALLOW-FROM http://foo.bar.com"
end

..现在事实证明客户希望我也加入白名单 http://foo.dev.bar.com以及。

我知道对于设置 X-FRAME-OPTIONS，“ALLOW-FROM”选项不允许多个子域。但既然是同一个根域，不同的子域，会不会更灵活一点？例如，我可以做类似的事情

response.headers["X-FRAME-OPTIONS"] = "ALLOW-FROM http://*.bar.com"

还有？

Answer 1

您可以使用 Content-Security-Policy标题代替，但它 doesn't work on everything .

response.headers["X-Content-Security-Policy"] = "frame-ancestors http://*.bar.com";
response.headers["Content-Security-Policy"] = "frame-ancestors http://*.bar.com";

Content-Security-Policy将覆盖 X-Frame-Options在现代浏览器上

X-Content-Security-Policy将覆盖 X-Frame-Options在 IE11