Опции X-Frame ALLOW-FROM не работают, если не использовать www - PullRequest
Новая
       73

Опции X-Frame ALLOW-FROM не работают, если не использовать www

0 голосов
/ 19 марта 2019

Angular 7, IIS 7, C # .NET Core, FireFox

Для моего сайта: https://www.example.com, x-кадров не удается, если пользователь использует https://example.com (обратите внимание на отсутствиеwww)

Заголовок, который я создаю: Headers.Add ("X-frame-options", "ALLOW FROM https://www.example.com,https://example.com");

, я пробовал множество итераций этого, и нетЧто бы я ни пытался, я не могу заставить его работать на оба: https://www.example.com https://example.com

1 Ответ

1 голос
/ 19 марта 2019

См. спецификацию :

Подстановочные знаки или списки для объявления нескольких доменов в одном ALLOW-FROM Заявление не допускается

и Шаблон проектирования использования и пример сценария для ALLOW-FROM Параметр

  1. Страница, которая хочет отобразить запрошенный контент во фрейме предоставляет собственную информацию о происхождении на сервер, предоставляя содержимое, которое должно быть создано с помощью параметра строки запроса.

например. используя строку запроса в URL.

  1. Сервер проверяет, что имя хоста соответствует его критериям, так что страница может быть создана целевым ресурсом. это может, например, произойти через поиск в белом списке доверенных доменные имена, которым разрешено обрамлять страницу. Например, для кнопки «Мне нравится» на Facebook сервер может проверить предоставленное имя хоста соответствует ожидаемому имени хоста Кнопка «Мне нравится».

  2. Сервер возвращает имя хоста в «X-Frame-Options: ALLOW-FROM» если надлежащие критерии были выполнены на шаге № 2.

  3. Браузер использует заголовок «X-Frame-Options: ALLOW-FROM».

Обратите внимание, что X-Frame-Options заменено Политика безопасности контента (CSP) где директива предков фрейма не позволяет вам предоставить список.

Тем не менее, на самом деле не имеет смысла размещать один и тот же веб-сайт на www.example.com и example.com. Выберите один из них, чтобы он был каноническим, и выполните перенаправление 301 от другого к нему.

Тогда вам нужно только разрешить каноническое значение в X-Frame-Options.

...