如何設置X框選項，允許-FROM https://example.com和SAMEORIGIN服務器上

Question

我有一個要求設置在服務器級別 X框選項，即：

• X框選項：SAMEORIGIN
• X框-選項：允許-FROM https://example.com/

要知道，X-框架選項是相互排斥。見here。

然而，我的應用程序需要在https://example.com和取景也從SAMEORIGIN。

請告知，如果有解決這個當的方式retainining我的應用程序的要求，允許其制定的同一產地和1外部網站被陷害。

或者這是不可能的？

Answer 1

除了僅支持頭的一個實例，X-Frame-Options不支持多於一個站點，SAMEORIGIN或不支持。

你將不得不使用Content-Security-Policy和frame-ancestors，這並支持多種起源，就像這樣：

Content-Security-Policy: frame-ancestors 'self' https://example.com 

一對夫婦指出牢記：

• frame-ancestors obsoletes X-Frame-Options - 這意味着如果frame-ancestors並且瀏覽器支持它時，它將覆蓋X-Frame-Options的行爲。
• Internet Explorer和Edge目前不支持frame-ancestors指令，according to MDN。這意味着他們將回落到X-Frame-Options。如果您需要在IE或Edge中支持多個來源，請致電see this answer on SO with a workaround。

Answer 2

我有一個類似的要求，我在global.asax中處理。我檢查了請求來自何處，並基於此將標題值更改爲sameorigin或allow-from。希望有所幫助。