IFrame 同源政策违规

IFrame same origin policy vaiolation

本文关键字：IFrame 更新时间：2023-09-26

我正在尝试从子域 sub.example.com/dir/frame.html 加载网址 example.com/somefile.html 中的 iframe。

为了避免违反SOP，我将document.domain attriute设置为在javascript代码中 example.com，在框架.html和somefile.html中。

这适用于IE和Firefox，但我仍然在Chrome中遇到以下错误："拒绝在帧中显示'frame-url'，因为它将'X-Frame-Options'设置为'SAMEORIGIN'。

在调试和检查两个文件 document.domain 值时，我得到了预期的"example.com"。

谁能开导我？

document.domain黑客对

X-Frame-Options规则没有影响。如果要允许页面在框架中显示，则需要更改X-Frame-Options规则。

使用 ALLOW-FROM 而不是 SAMEORIGIN 。该规范具有指导，以防您想要允许多个子域访问。