在 Spring Boot 中更改单个控制器的 x-frame-options 标头

Question

假设您有一个 Spring Boot 应用程序，并且您只想创建一个可以嵌入为 iFrame 的页面。所有其他页面仍应具有默认的 x-frame-options: deny 标头。

• 我找不到相应的注解（我希望有类似 @CrossOrigin 的注解，但对于标头是通用的）
• 我尝试通过 httpServletResponse 更改标头，但之后似乎安全标头被覆盖
• 我尝试使用 http.antmatcher("/controller").frameOptions().disable() 但这会破坏我的其余身份验证 - 我错过了 .allow(domain) 方法

我知道我可以创建一些过滤器代码，但我希望有一个更简单的解决方案。

有什么想法吗？

Answer 1

将这些标头设置为响应对我有用。

response.setHeader("X-Frame-Options", "SAMEORIGIN");
response.setHeader("Content-Security-Policy", " frame-ancestors 'self'");

X-Frame-Options 已被 Content-Security-Policy (frame-ancestors) 取代，但某些浏览器不支持它，因此最好同时设置目前。 参考：https://infosec.mozilla.org/guidelines/web_security#x-frame-options

Answer 2

仅允许特定控制器使用 iframe 选项，而不允许所有网站使用它，这是我的方法：

 @RequestMapping("/someiframepath")
    public String iframe(HttpServletResponse response, Model model) {
        response.setHeader("X-Frame-Options", "");
        .... DO SOMETHING ....
        return "your view";
    }

希望对你有帮助！