Nginx - 使用 ALLOW-FROM URI 时出现 X-Frame-Options 错误：未知指令/“add_header”指令中的参数数量无效答案

【问题标题】：Nginx - X-Frame-Options errors while using ALLOW-FROM URI: unknown directive / invalid number of arguments in "add_header" directiveNginx - 使用 ALLOW-FROM URI 时出现 X-Frame-Options 错误：未知指令/“add_header”指令中的参数数量无效
【发布时间】：2018-02-02 22:44:35
【问题描述】：

操作系统： Ubuntu 14.04

Nginx： nginx 版本：nginx/1.4.6 (Ubuntu)

为了在浏览器端为框架提供基于 Clickjacking 的安全性，X-Frame-Options 标头选项可以通过 3 种不同的方式设置。

DENY
SAMEORIGIN
ALLOW-FROM <uri>

PS：https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet（用于兼容性矩阵）和https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options（注意：不要将 Apache 与 Nginx 混合用于配置部分）。

我想在我的 Jenkins 机器上（即在 Jenkins 作业的仪表板上）启用 frames / iframes（由 Log parser plugin 生成/提供）的显示。有关更多信息，您可以在此处查看一些背景信息：Jenkins Log parser plugin - parsed console log page is not showing Load denied by X-Frame-Options does not permit framing ERR_BLOCKED_BY_RESPONSE

为此，我需要确保以下行不出现在我的 jenkins https conf 文件的 NGINX 配置中/或者您可以将其注释掉。

add_header X-Frame-Options DENY;

评论这一行，框架现在将在您的浏览器中呈现正常，即在作业的仪表板上，但这样做会带来安全问题。

要实现第二个选项，请确保删除/替换上述行或确保 Jenkins https conf 的 NGINX 配置文件中存在以下行。

add_header X-Frame-Options SAMEORIGIN;

现在，第 3 种方法采用单词 ALLOW-FROM https://_URI_value，带 / 不带双引号，从 ALLOW-FROM 之前开始并在 URL 部分之后结束。

这将告诉 NGINX 允许渲染来自给定 URI（在我的例子中为 JENKINS URL）的帧，所以我尝试了以下操作：

   #ALLOW-FROM https://my.company.jenkins.com/
   #add_header X-Frame-Options ALLOW-FROM https://my.company.jenkins.com/
   #add_header X-Frame-Options "ALLOW-FROM https://my.company.jenkins.com/"

如果我只启用第一行（如上面列出的第三种方法）并运行sudo service nginx restart; sleep 1; tail -1 /var/log/nginx/error.log，那么我会得到以下输出/错误。

 * Restarting nginx nginx                                                                                                                               [fail]
2017/08/24 15:27:39 [emerg] 127120#0: unknown directive "ALLOW-FROM" in /etc/nginx/sites-enabled/jenkins_https.conf:23

如果我只启用第 2 行或第 3 行（如上面列出的第 3 种方法），那么我将得到以下第 2/3 行的输出/错误。

 * Restarting nginx nginx                                                                                                                               [fail]
2017/08/24 15:29:49 [emerg] 127189#0: invalid number of arguments in "add_header" directive in /etc/nginx/sites-enabled/jenkins_https.conf:23

我怎样才能成功地在 nginx 配置文件中使用 ALLOW-FROM 语法，而在没有上述故障的情况下重新启动成功并且它允许来自给定 URI/URL 的帧/iframe 呈现？

PS： 使用add_header X-Frame-Options SAMEORIGIN;，我的问题得到了解决，但我主要是在寻找为什么ALLOW-FROM <URI/URL> 语法不起作用并给我上述错误消息。

【问题讨论】：

你试过add_header X-Frame-Options "ALLOW-FROM https://my.company.jenkins.com/"
是的，我做到了。给出相同的第二个错误。我看到我错过了https://，但它就在那里。我会改正帖子中的错字。
如果实际返回了 Header，你能检查开发者工具吗？

标签： nginx iframe server frames x-frame-options

【解决方案1】：

上面接受的语法不起作用。

预期的语法是

add_header X-Frame-Options "allow-from https://my.example.com/";

在 nginx/1.11.9 和 nginx/1.15.9 版本上测试成功

【讨论】：

【解决方案2】：

您可能已经想到了这一点，但只是为了后代：要在 add_header 中指定 allow-from，请使用以下语法：

add_header "allow-from https://my.example.com/";

【讨论】：