X-Frame-Options 支持同一域的不同子域

Question

我想知道是否可以为同一域的不同子域支持 X-Frame-Options。

Answer 1

X-Frame-Options

标头用于通过防止页面加载到 iframe 来防止点击劫持攻击。它允许网站控制他们的页面是否可以被其他网站嵌入到 iframe 中。

默认情况下，

X-Frame-Options

header 设置为“SAMEORIGIN”，这意味着页面只能加载到与页面本身来自相同域的

iframe

。

如果你想让你的页面从不同的子域加载到

iframe

中，你可以在 X-Frame-Options 标头中使用 ALLOW-FROM 指令。例如，要允许您的页面从子域 sub.example.com 加载到 iframe 中，您可以按如下方式设置标题：

X-Frame-Options: ALLOW-FROM https://sub.example.com

请注意，并非所有浏览器都支持 ALLOW-FROM 指令，建议改用 Content-Security-Policy (CSP) 标头，它可以对框架进行更细粒度的控制。