IFrame selbe Ursprungsrichtlinie vaiolation

Question

Ich versuche, einen iframe in url example.com/somefile.html von einer Unterdomäne sub.example.com/dir/frame.html zu laden.

Um SOP-Verletzung zu vermeiden, setzen Sie die document.domain attribute auf example.com in JavaScript-Code, in beiden frame.html & somefile.html.

Dies funktioniert in IE und Firefox, aber ich treffe immer noch die folgenden Fehler in Chrome: "Refused, um "frame-url" in einem Rahmen, weil es 'X-Frame-Options' auf 'SAMEORIGIN' gesetzt."

Beim Debuggen und Überprüfen beider Dateien document.domain Wert bekomme ich die erwartete "example.com".

Kann mir jemand aufklären?

Answer 1

document.domain Hacks haben einfach keine Auswirkungen auf X-Frame-Options Regeln. Wenn Sie zulassen möchten, dass die Seite in einem Frame angezeigt wird, müssen Sie die X-Frame-Options Regeln ändern.

Verwenden Sie ALLOW-FROM anstelle von SAMEORIGIN. Die spec has guidance falls Sie mehrere Subdomains zugreifen möchten.