标签: x-frame-options

如何操作 ADFS 3 的 x-frame-options HTTP 标头？

默认情况下，ADFS 3 响应包含“X-Frame-Options: DENY”HTTP 标头。这可以防止 ADFS 在 iframe 中运行，因为这为点击劫持攻击提供了机会。

然而，目前我的公司正在实施一个集成，其中应该对此安全规则进行例外处理：某个域上的页面应该能够在 iframe 中嵌入 ADFS。

然而，似乎 ADFS 不允许开箱即用地更改此设置。那么修改这个 HTTP 头的最好方法是什么？

例如 RFC ( https://tools.ietf.org/html/rfc7034#section-2.3.2.3 )中的建议？

想要在框架中呈现所请求内容的页面将其自己的来源信息提供给通过查询字符串参数提供要框架化的内容的服务器。

服务器验证主机名是否符合其标准，以便允许目标资源对页面进行框架化。例如，这可能通过查找允许构建页面的受信任域名白名单来实现。例如，对于 Facebook 的“Like”按钮，服务器可以检查提供的主机名是否与该“Like”按钮预期的主机名匹配。

如果在步骤 #2 中满足正确的条件，服务器会在“X-Frame-Options: ALLOW-FROM”中返回主机名。

浏览器强制执行“X-Frame-Options: ALLOW-FROM”标头。

active-directory http-headers adfs x-frame-options

wka*_*ann

lucky-day

7
推荐指数

1
解决办法

7904
查看次数

Nginx X-Frame 选项，Iframe Wordpress

在 Nginx 上使用 Wordpress。

我收到这些错误，但我似乎无法找出在我的 Nginx 选项中我指定了这个“拒绝”标头的位置。

Multiple 'X-Frame-Options' headers with conflicting values ('SAMEORIGIN, DENY') encountered when loading 'https://beta.com/wp-admin/plugin-install.php?tab=plugin-information&plugin=duplicate-post&'. Falling back to 'DENY'.

Refused to display 'https://beta.com/wp-admin/plugin-install.php?tab=plugin-information&plugin=duplicate-post&' in a frame because it set 'X-Frame-Options' to 'SAMEORIGIN, DENY'.

load-scripts.php?c=1&load[]=jquery-core,jquery-migrate,utils,jquery-ui-core,jquery-ui-widget,jquery…:2 Uncaught SecurityError: Failed to read the 'contentDocument' property from 'HTMLIFrameElement': Sandbox access violation: Blocked a frame at "https://beta.com" from accessing a frame at "null".  The frame being accessed is sandboxed and lacks the "allow-same-origin" flag.

Run Code Online (Sandbox Code Playgroud)

有任何想法吗？

在wordpressfunctions.php的核心文件中我可以看到