security - Firefox 中框架的 X-Frame-Options 和 Content-Security-Policy

Question

Content Security Policy specification says

The frame-ancestors directive obsoletes the X-Frame-Options header. If a resource has both policies, the frame-ancestors policy SHOULD be enforced and the X-Frame-Options policy SHOULD be ignored.

所以根据我的理解，如果两者都是 Content-Security-Policy和 X-Frame-Options header 存在，然后 X-Frame-Options应该被忽略。

我有一个带有两个标题的网络应用程序，看起来 Firefox 38 被忽略 Content-Security-Policy header 和用途 X-Frame-Options头代替。

我的示例标题是:

Content-Security-Policy:frame-ancestors 'self' local.com *.local.com 
X-Frame-Options:Allow-From http://local.com

我希望可以从 local.com 和所有子域访问我的框架。 Local.com 只是一个例子。如 X-Frame-Options header 存在，那么它只允许 http://local.com ，但如果我删除它，Firefox 将使用 Content-Security-Policy header ，适用于域和子域。

这是否意味着 Firefox 没有实现这一部分？或者它只是太新的规范而 Firefox 还没有实现它？有没有其他方法可以强制 Content-Security-Policy标题用法？

我知道 Chrome 与 Content-Security-Policy 一起工作正常和 IE 只能与 X-Frame-Options 一起工作，但看起来我无法合并两个标题，因为 Firefox 的工作方式不正确。

一种可能的方式是发送 X-Frame-Options仅适用于 IE，和 Content-Security-Policy对于所有其他人，但有更好的方法吗？

谢谢!

Answer 1

frame-ancestors仅出现在 CSP 级别 2(请参阅 changelog )，因此很可能 Firefox 38 尚未实现它。

您可以通过查看 JavaScript 控制台轻松验证这一点 - 浏览器将显示有关它不理解的每个 CSP 指令的警告。

您还可以从 beta channel 下载 Firefox 并查看它是否有所不同，但如果您只想为生产网站构建可互操作的解决方案，显然它不会有太大帮助......