X-Frame-Options：Firefox 和 chrome 中的 ALLOW-FROM

Question

我正在为X-Frame-Options 实施“直通”，以让合作伙伴网站将我雇主的网站包装在 iframe 中，如本文所述：http://blogs.msdn.com/b/ieinternals/archive/2010/03/30/combating-clickjacking-with-x-frame-options.aspx

（拆分 URL 以发布）

简而言之，我们合作伙伴的页面有一个 iframe，其中包含一个针对我们域的 URL。 对于我们域中的任何页面，他们都会添加一个特殊的 url 参数，例如 &@mykey=topleveldomain.com，告诉我们页面的顶级域是什么。

我们的过滤器从 URL 中提取合作伙伴 TLD（如果提供），并根据白名单对其进行验证。如果它在列表中，我们会发送带有值 ALLOW-FROM topleveldomain.com 的 X-Frame-Options 标头（并添加 cookie 以供将来点击）。如果它不在我们的白名单上，我们会发送SAMEORIGIN 或DENY。

问题在于，对于最新的 Firefox 和 Google Chrome，发送 ALLOW-FROM domain 会导致整体无操作。至少，IE8 似乎正确实现了ALLOW-FROM。

查看此页面：http://www.enhanceie.com/test/clickjack。在“应该显示内容”的第 5 个（共 5 个）框之后，是一个不应该显示内容的框，但它是。在这种情况下，iframe 中的页面发送X-Frame-Options: ALLOW-FROM http://www.debugtheweb.com，这是一个与http://www.enhanceie.com 截然不同的顶级域名。然而，框架仍然显示内容。

关于X-Frame-Options 是否真正在相关（桌面）浏览器中使用ALLOW-FROM 实现有任何见解吗？可能语法变了？

一些感兴趣的链接：

• x-frame-options 上的 rfc 草案：https://datatracker.ietf.org/doc/html/draft-gondrom-frame-options-01
• developer.mozilla 文章将标头讨论为 2 选项标头（同源或拒绝）。 https://developer.mozilla.org/en-US/docs/Web/HTTP/X-Frame-Options
• 发起整个事情的msdn博客：http://blogs.msdn.com/b/ie/archive/2009/01/27/ie8-security-part-vii-clickjacking-defenses.aspx
• msdn 博客讨论了 3 个值：添加 allow-from origin http://blogs.msdn.com/b/ieinternals/archive/2010/03/30/combating-clickjacking-with-x-frame-options.aspx

Answer 1

Chrome 或 Safari 不支持 ALLOW-FROM。见 MDN 文章：https://developer.mozilla.org/en-US/docs/Web/HTTP/X-Frame-Options

您已经在制作自定义标头并将其与正确的数据一起发送，您能否在检测到该标头来自有效合作伙伴时排除该标头并将 DENY 添加到所有其他请求？当您已经在动态构建逻辑时，我看不到 AllowFrom 的好处吗？

Answer 2

我发布了这个问题，但从未看到反馈（似乎是几个月后才出现的：）。

正如 Kinlan 所述，并非所有浏览器都支持 ALLOW-FROM 作为 X-Frame-Options 值。

解决方案是根据浏览器类型进行分支。对于 IE，发送X-Frame-Options。对于其他所有人，请发送X-Content-Security-Policy。

希望这会有所帮助，很抱歉花了这么长时间才结束循环！

Answer 3

对于 Chrome，而不是

response.AppendHeader("X-Frame-Options", "ALLOW-FROM " + host);

你需要添加Content-Security-Policy

string selfAuth = System.Web.HttpContext.Current.Request.Url.Authority;
string refAuth = System.Web.HttpContext.Current.Request.UrlReferrer.Authority;
response.AppendHeader("Content-Security-Policy", "default-src 'self' 'unsafe-inline' 'unsafe-eval' data: *.msecnd.net vortex.data.microsoft.com " + selfAuth + " " + refAuth);

到 HTTP-response-headers。
请注意，这假设您在服务器上检查了是否允许 refAuth。
另外，请注意，您需要进行浏览器检测以避免为 Chrome 添加 allow-from 标头（在控制台上输出错误）。

详情见my answer here.