ruby on rails 允许使用 frame_ancestors 内容安全策略或 X-Frame-Options 将您的网站嵌入其他站点

Question

我正在尝试允许其他人在许多网站上嵌入我的 rails 应用程序中的页面。我可以使用 X-Frame-Options 让它在 Chrome 和 Firefox 中工作。是否有等效的内容安全策略 response.headers['X-Frame-Options'] = "ALLOW-FROM *"

这是使用 X-Frame-Options 的位

class PeopleController < ApplicationController
  def embed
    response.headers['X-Frame-Options'] = "ALLOW-FROM *"
    @company = People.new
  end
end

但在我使用内容安全策略时在 Chrome 和 Google 中使用内容安全策略时不起作用

class PeopleController < ApplicationController

  content_security_policy do |p|
    p.frame_ancestors "self", "*"
  end

  def embed
    @company = People.new
  end
end

使用内容安全策略时，会抛出此错误：

Refused to frame 'http://localhost:3000/' because an ancestor violates the following Content Security Policy directive: "frame-ancestors self".

这是嵌入代码的示例：

  <iframe src="http://localhost:3000/people/embed"></iframe>

这是我尝试的另一个：

  <iframe src="/people/embed"></iframe>

更新

使用内容安全策略，这仅适用于 Firefox：

content_security_policy do |p|
  p.frame_ancestors 'self', "*"
end

Answer 1

现代 Chrome 和 Firefox 不支持 ALLOW-FROM 标头中的 X-Frame-Options 键。您可以发布X-Frame-Options: ALLOW-FROM ### 或X-Frame-Options: ALLOW-FROM http://example.com - 它们没有任何限制，带有ALLOW-FROM 键的标题只会被浏览器忽略。

如果您希望允许无限域的 iframe，根本不发布 X-Frame-Options 标头（和 frame-ancestors 指令）会更容易。

如果您有一组经过计数的允许域，您可以使用带有frame-ancestors domain1 domain2 ... domainN; 的 CSP 标头。

使用内容安全策略时，会抛出此错误：... because an ancestor violates the following Content Security Policy directive: "frame-ancestors self"

此错误表示您确实发布了frame-ancestors 'self'，而不是预期的frame-ancestors 'self' *。
也许您同时发布了两个不同的 CSP 标头，也许您的代码有错误。您可以check您在浏览器中实际获得的 CSP 标头。

注意 1：'self' 标记应该是单引号 - 在代码中使用 "'self'" 字符串。

注意 2：'self' 令牌通常只覆盖标准端口 80/443，它不包括 http://localhost:3000（它取决于浏览器）。星号 * 确实涵盖了任何端口号。