Internet Explorer的内容安全策略(CSP)解决方法

Question

我们正在建立一个ASP.NET网站,并希望仅允许一些可以iFrame访问我们网站的域名.Internet Explorer中不支持CSP.我正在设置类似的东西 Response.AddHeader("Content-Security-Policy", "frame-ancestors mydomain1.com mydomain2.com").

每个人如何处理Internet Explorer.我阅读IE支持,X-Content-Security-Policy但它没有frame-ancestors.

此外,我正在删除由IIS添加的默认X-Frame-Options标头

Response.Headers.Remove("X-Frame-Options")

Answer 1

Microsoft推荐的解决方案如下:

1. 内部,白名单domain1.com和domain2.com
2. 在嵌入iframe网址时,请在指定来源的网址中添加参数:iframe src ="http://example.org/frame.html?origin=http://domain1.com"
3. 在您的服务器上,检查原始值是否列入白名单.用它来设置X-Frame-Options:ALLOW-FROM http://domain1.com

您也可以检查Referer标头是否存在.