apache上的X-Frame-Options

Question

我试图允许某个特定域名通过iframe访问我的网站

Header set X-Frame-Options ALLOW-FROM https://www.that-site.com

我知道这可以通过将上面的行添加到Apache服务器的配置来完成.

这里有两个问题.

1)应该添加哪个配置文件？apache在Unix和windows上运行,如果不是同一个文件

2)在启用all-from时,我仍然希望能够从我自己的域运行一些iframe.我可以在allow-from之后添加以下行吗？

 Header set X-Frame-Options SAMEORIGIN

或者我应该在all-from中添加我自己的域名,即

 Header set X-Frame-Options ALLOW-FROM https://www.that-site.com, http://www.my-own-domain.com

真的需要解决这个问题.提前致谢

Answer 1

Allow from URI并非所有浏览器都支持.参考:MDN上的X-Frame-Options

在 ubuntu 18.04 上使用 apache 我需要编辑 /etc/apache2/conf-enabled/ssl-params.conf 并将“Header always set X-Frame-Options DENY”替换为“Header always append X-Frame-Options SAMEORIGIN”并重启apache服务。 (3认同)

Answer 2

您只需将以下行添加到.htaccess即可

Header always unset X-Frame-Options

这仅在你想要完全禁用X-Frame-Options时才有用 - 在某些情况下并不总是正确的解决方案.允许Optimizely功能需要管理X-Frame-Options,这也意味着不断更新它.所有网站都应该使用X-Frame-Options来增加访问者的网站安全性. (2认同)