X-Frame-Options ALLOW-FROM怎么配置

X-Frame-Options ALLOW-FROM 已经被弃用，现在推荐使用 Content-Security-Policy 中的 frame-ancestors 指令来进行配置。

例如，如果你想允许来自 https://example.com 的页面嵌入你的网页，可以在 HTTP 响应头中添加如下字段：

Content-Security-Policy: frame-ancestors https://example.com

如果你想允许所有来源的页面嵌入你的网页，可以将其设置为 *：

Content-Security-Policy: frame-ancestors *

需要注意的是，frame-ancestors 指令只在支持 Content-Security-Policy 的浏览器中生效。如果浏览器不支持该指令，仍然会使用 X-Frame-Options 来进行限制。

相关问题

nginx配置X-Frame-Options:ALLOW-FROM

nginx配置X-Frame-Options为ALLOW-FROM时，表示允许指定来源的frame页面加载当前页面。具体配置方法如下：

add_header X-Frame-Options "ALLOW-FROM uri";

其中，uri是指允许加载当前页面的来源地址。你需要将uri替换为实际的来源地址。

举个例子，如果你想允许来自example.com的页面加载当前页面，配置如下：

add_header X-Frame-Options "ALLOW-FROM http://example.com";

这样配置后，只有来自example.com的页面才能加载当前页面。

在哪里设置X-Frame-Options头为ALLOW-FROM

在2018年，W3C将ALLOW-FROM选项从X-Frame-Options中删除，因为它存在一些安全问题。因此，现代浏览器都不再支持ALLOW-FROM选项。

相反，您可以使用Content-Security-Policy（CSP）头来控制您的网站是否可以嵌入到其他网站中。您可以在CSP头中包含frame-ancestors指令，以指定允许嵌入您网站的父级网站的列表。例如，以下CSP头会允许来自example.com和example.net的网页嵌入到您的网页中：

Content-Security-Policy: frame-ancestors 'self' example.com example.net;

请注意，如果您同时使用X-Frame-Options和CSP头，则X-Frame-Options头将覆盖CSP头。因此，如果您想使用CSP头来控制嵌入行为，请确保不要同时使用X-Frame-Options头。