内容安全策略、X-Frame-Options 和 localhost

【问题标题】：Content Security Policy, X-Frame-Options, and localhost内容安全策略、X-Frame-Options 和 localhost
【发布时间】：2017-10-16 13:31:36
【问题描述】：

关于X-Frame-Options 和/或Content-Security-Policy: frame-ancestors 的101 题：如果打算在本地机器上使用iframed 生产站点（我可以在其上调整标题）开发应用程序，他们是否必须添加@987654323 @ 到frame-ancestors 在Content-Security-Policy? X-Frame-Options SAMEORIGIN 根本不起作用吗？

【问题讨论】：

标签： iframe content-security-policy x-frame-options

【解决方案1】：

您可能希望从框架响应中去除这些标头，这样它们就不会阻止呈现。

在本地，唯一适用的是 frame-src 进入 localhost 响应，允许您嵌入生产站点（根本不设置 csp 也可以）。

【讨论】：

你会用什么方法来去除标题？如果这只是页面上的<iframe />，我真的没有机会进行标题剥离吗？
您需要使用删除标头的代理（例如 Charles 代理）或浏览器扩展。似乎有一些专门删除 x-frame-options 的 chrome 扩展，但我没有尝试过，所以我不能推荐任何。