iframe - 如何在服务器上将 X-Frame 选项设置为 ALLOW-FROM https ://example. com 和 SAMEORIGIN

Question

我需要在 上设置 X-Frame 选项服务器级别 要么:

• X-Frame-Options: SAMEORIGIN
• X-Frame-Options: ALLOW-FROM https://example.com/

了解 X-Frame 选项是相互排斥的。见 here .
但是，我的应用程序需要在 中取景https://example.com 以及来自它的 SAMEORIGIN .
请告知是否有解决此问题的方法，同时保留我的应用程序要求在 上允许框架的要求。同源并被陷害 1 个外部站点 .
或者这是不可能的？

Answer 1

除了只支持一个头部实例，X-Frame-Options只支持一个站点，SAMEORIGIN或不。

您必须使用 Content-Security-Policy和 frame-ancestors ，它确实支持多个来源，如下所示:

Content-Security-Policy: frame-ancestors 'self' https://example.com

需要记住的几个注意事项:

frame-ancestors obsoletes X-Frame-Options - 意思是如果 frame-ancestors存在并且浏览器支持它，它将覆盖 X-Frame-Options 的行为.

Internet Explorer 和 Edge 当前不支持 frame-ancestors指令，according to MDN .这意味着它们将回退到 X-Frame-Options .如果您需要在 IE 或 Edge 中支持多源，see this answer on SO with a workaround .