在哪里设置X-Frame-Options头为ALLOW-FROM

在2018年，W3C将ALLOW-FROM选项从X-Frame-Options中删除，因为它存在一些安全问题。因此，现代浏览器都不再支持ALLOW-FROM选项。

相反，您可以使用Content-Security-Policy（CSP）头来控制您的网站是否可以嵌入到其他网站中。您可以在CSP头中包含frame-ancestors指令，以指定允许嵌入您网站的父级网站的列表。例如，以下CSP头会允许来自example.com和example.net的网页嵌入到您的网页中：

Content-Security-Policy: frame-ancestors 'self' example.com example.net;

请注意，如果您同时使用X-Frame-Options和CSP头，则X-Frame-Options头将覆盖CSP头。因此，如果您想使用CSP头来控制嵌入行为，请确保不要同时使用X-Frame-Options头。

相关问题

java能开启设置X-Frame-Options头为ALLOW-FROM

不可以。

X-Frame-Options 是一个 HTTP 响应头，用于控制网站在 iframe 中的加载行为，它有三个可选值：DENY、SAMEORIGIN 和 ALLOW-FROM。

其中，ALLOW-FROM 选项是在 HTML5 中定义的，但目前被大多数主流浏览器所不支持，因此在实际开发中，我们不能使用 ALLOW-FROM 选项来设置 X-Frame-Options 头。

如果需要在 Java 中设置 X-Frame-Options 头，可以使用 Servlet API 中的 HttpServletResponse 接口提供的 setHeader() 方法来设置。例如，可以使用以下代码将 X-Frame-Options 头设置为 DENY：

response.setHeader("X-Frame-Options", "DENY");

linux x-frame-options allow-from

在 Linux 中，X-Frame-Options 是一个 HTTP 响应头，用于保护网站免受嵌入式攻击（clickjacking）。它告诉浏览器是否允许当前页面在 iframe 中嵌入其他网站。

然而，allow-from 是不受支持的 X-Frame-Options 值，因为它已经被弃用了。相反，您应该使用 Content-Security-Policy（CSP）中的 frame-ancestors 指令来实现相同的效果。例如，您可以使用以下指令：

Content-Security-Policy: frame-ancestors 'self' example.com

这将只允许您的网站和 example.com 嵌入您的内容。