Nginx - 使用 ALLOW-FROM URI : unknown directive/invalid number of arguments in "add_header" directive 时出现 X-Frame-Options 错误

Question

操作系统: Ubuntu 14.04

Nginx: nginx 版本:nginx/1.4.6 (Ubuntu)

为了在浏览器端为框架提供基于点击劫持的安全性，X-Frame-Options标题选项可以通过 3 种不同的方式设置。

• DENY
• SAMEORIGIN
• ALLOW-FROM <uri>

附言:https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet (用于兼容性矩阵)和 https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options (注意:不要将 Apache 与 Nginx 混合用于配置部分)。

我想在我的 Jenkins 机器上启用 frames/iframes(由 Log parser plugin 生成/提供)的显示，即在 Jenkins 作业的仪表板上。有关更多信息，您可以在此处查看一些背景信息:Jenkins Log parser plugin - parsed console log page is not showing Load denied by X-Frame-Options does not permit framing ERR_BLOCKED_BY_RESPONSE

为此，我需要确保以下几行不出现在我的 jenkins https conf 文件的 NGINX 配置中/或者您可以将其注释掉。

add_header X-Frame-Options DENY;

评论此行，框架现在可以在您的浏览器中正常呈现，即在作业的仪表板上，但这样做会带来安全问题。

要实现第二个选项，请确保您删除/替换上面的行，或者确保以下行存在于您的 Jenkins https conf 的 NGINX 配置文件中。

add_header X-Frame-Options SAMEORIGIN;

现在，第三种方法采用 ALLOW-FROM https://_URI_value 这个词 在 ALLOW-FROM 之前有/没有双引号开始并在 URL 部分之后结束。

这将告诉 NGINX 允许渲染来自给定 URI(在我的例子中是 JENKINS URL)的帧，所以我尝试了以下操作:

   #ALLOW-FROM https://my.company.jenkins.com/
   #add_header X-Frame-Options ALLOW-FROM https://my.company.jenkins.com/
   #add_header X-Frame-Options "ALLOW-FROM https://my.company.jenkins.com/"

如果我只启用第一行(如上面列出的第三种方法)并运行 sudo service nginx restart; sleep 1; tail -1 /var/log/nginx/error.log ，然后我得到以下输出/错误。

 * Restarting nginx nginx                                                                                                                               [fail]
2017/08/24 15:27:39 [emerg] 127120#0: unknown directive "ALLOW-FROM" in /etc/nginx/sites-enabled/jenkins_https.conf:23

如果我只启用第 2 行或第 3 行(如上面所列的第 3 种方法)，那么第 2/3 行都会得到以下输出/错误。

 * Restarting nginx nginx                                                                                                                               [fail]
2017/08/24 15:29:49 [emerg] 127189#0: invalid number of arguments in "add_header" directive in /etc/nginx/sites-enabled/jenkins_https.conf:23

我怎样才能成功地在 nginx 配置文件中使用 ALLOW-FROM 语法，同时重新启动成功而没有上述故障，并且它允许来自给定 URI/URL 的框架/iframe 渲染？

附言:使用 add_header X-Frame-Options SAMEORIGIN; ，我的问题已解决，但我主要是在寻找原因 ALLOW-FROM <URI/URL>语法不工作并给我上述错误消息。

Answer 1

上面接受的语法不起作用。

预期的语法是

add_header X-Frame-Options "allow-from https://my.example.com/";

在 nginx/1.11.9 和 nginx/1.15.9 版本上测试成功