Apache X-Frame-Options Allow-From 多个域

Question

当我在 apache 中使用 x-frame headers 选项时出现错误。

Header always append X-Frame-Options ALLOW-FROM site1,site2,site3

或者

Header always append X-Frame-Options ALLOW-FROM=site1,site2,site3

或者

Header always append X-Frame-Options ALLOW-FROM=site1
Header always append X-Frame-Options ALLOW-FROM=site2
Header always append X-Frame-Options ALLOW-FROM=site3

我如何设置 X-Frame-Options: ALLOW-FROM 以支持多个域？

谢谢!

Answer 1

值得注意的是，ALLOW-FROM 是 removed from Firefox 70 ，其他浏览器很可能会跟进。您将需要使用 CSP 的 frame-ancestors指令代替，在 about 95% 中受支持的浏览器。
您的示例将是:

Header always append Content-Security-Policy "frame-ancestors site1 site2 site3;"

编辑:frame-ancestors 在新浏览器中覆盖 X-FRAME-OPTIONS，所以理论上你可以在那里为旧浏览器设置一个值并让 CSP 在新浏览器中覆盖它，但问题是没有 X-FRAME-OPTIONS 值这将使您嵌入到多个网页中。唯一有效的选项是拒绝(不允许在任何地方)、同源(仅限您的网站)和允许(从现代浏览器中删除，无论如何只允许一个站点)。
您要覆盖的旧 X-FRAME-OPTIONS 值根本没有。这将允许您将您的站点嵌入到多个其他站点(所有站点)中，并将其限制为您在现代浏览器中允许的站点。
如果不嵌入在不允许的站点中比嵌入在允许的站点中更重要，则将上述内容与:

Header always append X-Frame-Options "DENY"

这将阻止您的站点被嵌入到大约 3% 的浏览器的所有站点中，仅在 95% 的浏览器中的允许站点中显示，并在其余 2% 的浏览器中随处显示(甚至 X-FRAME-OPTIONS isn't supported everywhere)。