配置 X-Frame-Options 以允许嵌入我的站点

Question

我有一个网站，比如 http://mysite-a.com 托管，它在 nginx 上运行。

我有另一个网站http://mysite-b.com，我打算在其中嵌入一个页面http://mysite-a.com/embeddable。

在http://mysite-a.com的nginx配置中，我做了如下设置：

add_header X-Frame-Options "ALLOW-FROM http://mysite-b.com";

但是，当我转到 http://mysite-b.com 的页面时，我看到以下错误：

具有冲突值的多个“X-Frame-Options”标头 ('SAMEORIGIN, ALLOW-FROM http://mysite-b.com') 遇到时 加载“http://mysite-a.com/embeddable”。回退到“拒绝”。

关于我做错了什么有什么建议吗？

谢谢。

Answer 1

我将 Sinatra 用于我的站点 A，并认为 Sinatra 正在为 X-Frame-Options 附加 SAMEORIGIN。我不得不禁用框架选项：

set :protection, except: :frame_options

让事情顺利进行。