如何允许我的网站嵌入iframe？

Question

使用IFRAME的本地网站是经典的ASP，而在外部服务器上托管的网站是MVC4。尝试iframe MVC4 Web应用程序时，我只会出现错误。当我尝试iframe与MVC4应用的同一服务器（同一域）上的经典ASP站点时，我没有错误。

根据

Mozilla开发人员网络

，有三个选项在两个元素上得到支持：

Answer 1

X-Frame-options：否认 X-Frame-options：Sameorigin

edited
• ：从多纳的评论中，不再支持以下选项，不应使用：

x-frame-options：允许from

https：//example.com/

• 第一个和最后一个绝对不是您需要的。 我尝试使用本地服务器使用以下方式访问另一台本地服务器 <frame>, <iframe> or <object>

但我得到了一个回应：

X-Frame-Options: ALLOW-FROM http://localhost/

它有点工作是因为标题被忽略了，但是您必须评估您的网站是否理想。在这种情况下，要求您的服务器不发送此标头要简单。但是，只有当您了解项目的后果时才这样做。

iis

可以通过以下方式完成：

'allow-from http://localhost/' is not a recognized directive. The header will be ignored.

请记住，

它可以根据您的网络浏览器来纪念标题。 Mozilla甚至指出：

仅当访问文档的用户使用浏览器支持X-Frame-Options.时，才提供添加的安全性。

我相信Edge对此规则比WebKit更严格。
    

事实证明，解决方案是使用

web.config

确保不会自动覆盖

<system.webServer>
 <httpProtocol>
  <customHeaders>
    <remove name="X-Frame-Options" />
  </customHeaders>
 </httpProtocol>
</system.webServer>

设置。

X-Frame-options标头仅支持两个指令：拒绝或Sameorigin。尽管拒绝阻止所有将网站嵌入iframe的尝试，但Sameorigin允许仅嵌入同一域中。这种限制使其不适合嵌入您自己以外的特定领域。

您需要的是content-security-policy http标头，它具有您需要的框架指令。 为了使其正常工作，将标题设置为所需的域 在node.js：

SuppressXFrameOptionsHeader

在轨道上的红宝石：

Answer 2

带有CSP标头，您很高兴！

Answer 3

将其转换为iframe

[电子邮件保护]

WHTSAPP [phone]