在 iis 上启用 cors - x-frame-options 拒绝加载：不允许跨域框架答案

【问题标题】：enable cors on iis - load denied by x-frame-options: does not permit cross-origin framing在 iis 上启用 cors - x-frame-options 拒绝加载：不允许跨域框架
【发布时间】：2018-01-01 08:03:32
【问题描述】：

对此有几个问题，但我还没有得到正确的答案。我做一个简短的总结：

A 公司有一个网站，其中包含 iframe。 B 公司提供了该 iframe 的 URL。用户使用 B 公司的应用程序，并根据用户选择的设置设置一个 URL，该 URL 会从 A 公司传递到 iframe。

但是，由于 x-frame-options，框架还不能正常工作。错误信息如下：

X-Frame-Options 拒绝加载： http://www.myurl.com:8088/myPath?panel=panel&user=username 不允许跨域框架。

我加了

<httpProtocol>
    <customHeaders>
        <add name="Access-Control-Allow-Origin" value="*" />
    </customHeaders>
</httpProtocol>

到我的 web.config 并尝试添加

<handlers>  
    <remove name="OPTIONS"/>
</handlers>

没有任何成功。

我从 this 和 this 网站获得了在我的 IIS 上添加 CORS 支持的建议。正如我上面提到的，没有任何成功。我在 web 开发或 IIS 方面不是那么好，所以这个问题对你来说可能听起来很愚蠢：A 公司必须启用 CORS 还是 B 公司必须启用？或两者？如何？我从谷歌得到的建议还没有帮助。

建议表示赞赏。

【问题讨论】：

标签： iis iframe cors x-frame-options

【解决方案1】：

该错误消息与Access-Control-Allow-Origin 标头或OPTIONS 处理无关，因此预计问题中描述的更改不会产生任何影响。

原因是，http://www.myurl.com:8088 服务器在对/myPath 的请求的响应中发送了一个X-Frame-Options 响应标头。因此，如果您不希望服务器这样做，您需要找出服务器代码的哪一部分导致添加 X-Frame-Options 响应标头，然后删除该代码。

【讨论】：

如果我理解正确的话，B公司必须这样做，对吧？有什么方法可以轻松搞定？
控制在http://www.myurl.com:8088 运行的服务器的任何人都需要删除添加X-Frame-Options 响应标头的任何内容，以便在另一个来源运行的任何代码都能够构建该内容。如果您不控制在 http://www.myurl.com:8088 上运行的服务器，那么您将无法让您的网站构建该内容。 X-Frame-Options 的全部目的是阻止第三方网站在内容所有者不希望的情况下构建内容。如果第三方网站有某种方法可以绕过它，那就达不到目的了
好的，那我去找那个 X-Frame-Options 部分并把它去掉。希望我能找到它。它有一个“典型的地方”吗？还是可以在任何地方？
一个可能的地方是您的 IIS Web.config 文件。这可能是首先看的最佳位置。

【解决方案2】：

x-frame-options 已被 Content-Security-Policy 取代，您可以按如下方式使用它：

<system.webServer>
<httpProtocol>
  <customHeaders>
    <add name="Content-Security-Policy" value="frame-ancestors 'self' example.com *.example.net ;" />
    <add name="X-Content-Security-Policy" value="frame-ancestors 'self' example.com *.example.net ;" />
  </customHeaders>
</httpProtocol>

【讨论】：