IE11 重定向后忽略 X-Frame-Options

Question

我有一个通过 Facebook Messenger 应用程序打开的 Web 应用程序。在移动设备上，它在 Facebook Messenger 的 web 视图中打开，在桌面上，它在 iFrame 中打开。这适用于除 IE11 之外的所有浏览器。

我们将 X-Frame-Options 标头设置为“ALLOW-FROM https://www.messenger.com”。当应用程序首次加载到 iFrame 中时，它会毫无问题地加载。然后应用程序使用 302 响应请求并重定向。被重定向到的页面显示错误“此内容无法在框架中显示”。控制台中没有像通常在其他浏览器中阻止 iFrame 内容时出现的错误。

在 iFrame 中是否存在 IE11 不支持的重定向方面的某些方面？

申请详情： 这是一个在客户端使用 JS 的 Django 服务器端呈现的 Web 应用程序。我将尝试分解操作顺序：

请求 1：GET 到返回文档的端点 1 - 这已成功显示在 iFrame 中

请求 2：从客户端的 JS POST 到 endpoint1

const formData = new FormData();

        formData.append('psid', thread_context.psid);
        formData.append('tid', thread_context.tid);

        const xhr = new XMLHttpRequest();

        xhr.onload = function (event) {
            if (this.status !== 200) {
                handleError(this);
                return;
            }

            window.location.href = this.responseURL;
        };
        xhr.onerror = handleError;

        xhr.open('POST', postUrl);
        xhr.send(formData);

响应是带有位置标头的状态代码 302

请求 3：GET 到 302 响应中返回的位置。 响应是状态代码 200，并在正文中包含文档。 这会导致上面的 xhr.onload 触发，然后调用 window.location.href 重定向到之前返回的新位置。

请求 4：GET 作为更新 window.location.href 的结果。响应为状态码 200。此时浏览器显示“内容无法在框架中显示”消息。

这些请求中的每一个都在响应中包含“ALLOW-FROM https://www.messenger.com”的 X-Frame-Options 标头。

Answer 1

所以事实证明“内容无法在框架中显示”消息是一个红鲱鱼。问题确实是由于设置：

window.location.href = this.responseURL;

在 IE 和旧版本的 Edge responseURL is not a supported property of XMLHttpRequest 中。此外，在 IE 中的 302 之后似乎无法获取请求 URL。因此，我的解决方案是重写我们返回 302 开头的用法，而是返回一个 JSON 响应，其中包含要重定向到的 URL。