使用 Laravel 在标头的 x-frame-options 中添加多个域

Question

我想在 X-Frame-Options 中添加多个域，因为我必须授权 facebook 和 messenger。

我尝试了很多东西，例如...

我创建了一个中间件：

<?php

namespace App\Http\Middleware;

use Closure;

class FrameHeadersMiddleware
{
    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        $response = $next($request);

        $response->header('X-Frame-Options', 'ALLOW FROM https://www.messenger.com/');
        $response->header('X-Frame-Options', 'ALLOW FROM https://www.facebook.com/');

        return $response;
    }
}

但是只添加了facebook...

编辑：我使用 http 引用：

    <?php

    namespace App\Http\Middleware;

    use Closure;
    use Request;

    class FrameHeadersMiddleware
    {
        /**
         * Handle an incoming request.
         *
         * @param  \Illuminate\Http\Request  $request
         * @param  \Closure  $next
         * @return mixed
         */
        public function handle($request, Closure $next)
        {
            $response = $next($request);

            if(Request::server('HTTP_REFERER') === 'www.messenger.com'){
                $response->header('X-Frame-Options', 'ALLOW FROM https://www.messenger.com/');
            }

            if(Request::server('HTTP_REFERER') === 'www.facebook.com'){
                $response->header('X-Frame-Options', 'ALLOW FROM https://www.facebook.com/');
            }

            return $response;
        }
    }

Answer 1

您不能同时拥有多个 X-Frame-Options 标头。

见the specification:

2.3.2.3。 ALLOW-FROM 的使用设计模式和示例场景 参数

由于“ALLOW-FROM”字段只支持一个序列化来源，在
服务器希望允许多个资源框架的情况 它的内容，下面的设计模式可以满足这个需求：

1. 想要在框架中呈现请求内容的页面 将其自己的原始信息提供给提供 要通过查询字符串参数框定的内容。

2. 服务器验证主机名是否符合其条件，以便 页面允许被目标资源框住。这 例如，可能通过查找受信任的白名单来发生 允许构成页面的域名。例如， 对于 Facebook 的“Like”按钮，服务器可以检查以查看 提供的主机名与预期的主机名匹配 “喜欢”按钮。

3. 服务器在“X-Frame-Options: ALLOW-FROM”中返回主机名 如果在第 2 步中满足适当的标准。

4. 浏览器强制执行“X-Frame-Options: ALLOW-FROM”标头。