加载Iframe时出现内容安全政策错误

Question

我们在网站上加载Iframe时收到内容安全政策错误。

Iframe正在为我们的应用程序在虚拟目录中加载一个单独的站点。在单独的选项卡中单独打开时，应用程序可以正常工作，但在父网站的Iframe中不起作用。

我们尝试在网站母版页面中添加元标记<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' http://* 'unsafe-inline'; script-src 'self' http://* 'unsafe-inline' 'unsafe-eval'" />，但它不起作用。

我们还在IIS Http响应标头中添加了X-Frame-Options，其中包含值＆＃34; ALLOW-FROM https://virtual directory Ip Name/＆＃34;但仍然没有成功。

问题出现在IE和Chrome中。
控制台登录chrome：

错误截图：

Answer 1

尝试添加配置条目，如下所示：

`<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Content-Security-Policy" value="default-src 'self';" />
    </customHeaders>
  </httpProtocol>
</system.webServer>`

default-src with'self'表示从同一来源加载内容，如JavaScript，图像，CSS，字体，AJAX请求，框架，HTML5媒体。同样，您可以使用child-src更改Iframe中内容的策略，并提及您要加载的网站。如果它具有相同的起源/域，你可以使用'self'。

可以找到更多详细信息here