用于包含隐藏＆＃34; text / html＆＃34;的HTML标记x-frame-options时的内容：DENY

Question

当来自服务器的所有响应都包含x-frame-options时，我可以使用任何HTML标记来请求"text/html" mime类型的内容：DENY？

我尝试<script src="path" type="text/html"></script>，但浏览器只是忽略了这个标记。

我试图这样做的原因是从只返回那种响应的服务器获取cookie。

感谢。

Answer 1

如果.html document与CORS一起提供，您可以使用<link>元素并将import设置为rel属性。

<link id="html" rel="import" href="/path/to/file.html" type="text/html">
<script>
  document.querySelector("#html").onload = function() {
    console.log(this.import)
  }
</script>