X-Frame-Options SAMEORIGIN在我的域上阻止iframe

Question

我正在使用http://www.jacklmoore.com/colorbox在灯箱中显示网址的内容.实施后,彩盒没有显示任何东西.

后来,我注意到chrome日志中出现以下错误:

Refused to display document because display forbidden by X-Frame-Options.

所以在记录之后我将以下行添加到网站的根.htaccess:

Header always append X-Frame-Options SAMEORIGIN

允许iframe嵌入我自己的域名.

但我仍然得到错误,我是x-frame的新手,我正在研究现有的应用程序,所以我认为.htaccess解决方案会很好,但它可以被一些代码覆盖吗？请注意,它不在服务器配置中.

Answer 1

尝试发送另一个X-Frame-Options标题,添加

<?php header('X-Frame-Options: GOFORIT'); ?>

到页面顶部.它应该禁用SAMEORIGIN命令.

一个更安全的选项是 `<?php header("X-Frame-Options: allow-from https://example.com/"); ?>`，其中 `https://example.com` 是您希望允许在 iframe 中显示页面的站点。[（文档）]（https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options） (2认同)

Answer 2

根据 moz 开发页面。这是的定义

SAMEORIGIN
页面只能显示在与页面本身同源的框架中。

这意味着只有当您包含站点中的某些页面时才会显示。
假设

您在http://foo.com上有一个网站，并且希望在 iframe 中显示来自http://foo.com/sec_page 的内容，它将显示在 iframe 中
但如果您嵌入相同的 iframe( http://foo.com/sec_page ) 来加载http://bar.com那么它不会显示任何内容。因为原点会改变。