IFrame 同源策略违规

Question

我正在尝试从子域 sub.example.com/dir/frame.html 加载 url example.com/somefile.html 中的 iframe。

为了避免违反 SOP，我在 javascript 代码中将 document.domain 属性设置为 example.com，在 frame.html 和 somefile.html 中。

这在 IE 和 Firefox 中有效，但我在 Chrome 中仍然遇到以下错误： “拒绝在框架中显示“frame-url”，因为它将 'X-Frame-Options' 设置为 'SAMEORIGIN'。”

在调试和检查两个文件 document.domain 值时，我得到了预期的“example.com”。

谁能赐教？

Answer 1

document.domain hack 对X-Frame-Options 规则没有任何影响。如果要允许页面显示在框架中，则需要更改X-Frame-Options 规则。

使用ALLOW-FROM 而不是SAMEORIGIN。 spec has guidance 以防您想允许多个子域访问。