X-Frame-Options头部不是一个被认可的指令。

Question

我已经使用Nextcloud（在Nginx上）一段时间了，我想将其嵌入到另一个网站的iframe中。但是标题不接受我的指令。

我将 /var/www/nextcloud/lib/private/legacy/response.php 中的头部选项更改为以下内容：

header('X-Frame-Options: ALLOW-FROM https://example.com');

然而当我创建一个包含iframe的示例网页时，它给出以下错误：

Invalid 'X-Frame-Options' header encountered when loading 'https://nextcloud.example.com/apps/files/': 'ALLOW-FROM https://example.com' is not a recognized directive. The header will be ignored.

有没有人知道为什么这样不起作用？

- MPH

Answer 1

allow-from已经过时。您可以使用Content-Security-Policy头代替:

header('Content-Security-Policy: frame-ancestors https://example.com');

- R. Oosterholt

Answer 2

回到这个帖子。不幸的是，我找到了问题所在。Chrome不支持此选项，因此Chrome会给出错误提示，说iframe将我重定向了很多次。

然而，在Firefox上，这个选项可以正常使用（更多信息请参见：https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options）。

- MPH