如何使用X-Frame-Options SAMEORIGIN来对同一域中的页面进行iframe？

Question

我们有此页面，www.ourdomain.com / home.html

在home.html内部，有一个iframe，其中src设置为yyy.ourdomain.com/index.html。 yyy.ourdomain.com上的所有页面都将X-Frame-Options设置为SAMEORIGIN。由于此标头，iframe内容无法加载。我收到了这个错误。

Firefox - X-Frame-Option拒绝加载：http://yyy.ourdomain.com/index.html不允许跨源框架。

Chrome - 拒绝在一个框架中显示“http://yyy.ourdomain.com/index.html”，因为它将“X-Frame-Options”设置为“SAMEORIGIN”。

home.html和index.html都有这行javascript代码 -

document.domain = 'ourdomain.com';

我该如何使这项工作？

PS - 我没有删除X-Frame-Options标题的选项。

感谢。

Answer 1

标题X-Frame-Options: DENY或X-Frame-Options: SAMEORIGIN不允许您以<frame>，<iframe>或<object>呈现网页。

我找到的唯一工作方式是在主域中创建一个加载所请求子域页的html内容的代理页。

见

• https://developer.mozilla.org/en-US/docs/Web/HTTP/X-Frame-Options
• https://developer.mozilla.org/en-US/docs/Web/Security/Same-origin_policy

了解更多信息