无涯教程网

Asp.net 如何绕过 XFrameOptions： SAMEORIGIN HTTP 标头

发布于06月15日

我正在开发一个网页，需要在iframe中显示另一家公司的SharePoint服务器提供的报告.他们对此没意见.

我们试图在iframe中呈现的页面为我们提供了X-Frame-Options:SAMEORIGIN，这会导致浏览器(至少IE8)拒绝呈现框架中的内容.

首先，这是他们可以控制的，还是SharePoint只是默认情况下做的？如果我让他们关掉这个，他们能做到吗？

其次，我可以做些什么来告诉浏览器忽略这个http标头，只呈现帧吗？

推荐答案

如果第二家公司很乐意让你在IFrame中访问他们的内容，那么他们需要取消限制——他们可以在IIS配置中轻松做到这一点.

您不能做任何事情来规避它，任何可以工作的东西都应该在安全修补程序中快速打上补丁.如果源内容标题显示框架中不允许，则不能告诉浏览器只呈现框架.这将使会话劫持变得更容易.

如果内容是GET only，则不发回数据，则可以获得页面服务器端，并在不使用标题的情况下代理内容，但任何发回都应无效.

Asp.net相关问答推荐

Razor中的共享本地化资源文件

在 Web.Config 中模拟标签

ASP.NET Core 1.0 ConfigurationBuilder().AddJsonFile("appsettings.json");找不到文件

使用 Owin 身份验证的服务器端声明缓存

HttpContext.Cache 过期

如何在 ASP.NET Web API 中使用非线程安全的 async/await API 和模式？

配置转换和TransformXml 任务失败错误消息

如何在 Visual Studio 2017 中使用 NPM 并安装包？

带有邮箱地址参数的 WebApi 方法从 HttpClient 返回 404

在 asp.net 中调整图像大小而不会丢失图像质量

ASP.net 与 PHP( Select 什么)

可空日期时间转换

您如何以编程方式填写表格并发布网页？

从后面的 asp.net 代码中读取表单身份验证 cookie

等价于 ASP.NET Core 中的 Html.RenderAction

在资源文件中使用 HTML

Request.Cookies 和 Response.Cookies 之间的区别

如何使用 ConfigurationManager.AppSettings

如何识别字符串是否包含 unicode 字符？

使用 FileUpload Control 获取文件的完整路径

实用课程推荐

相关教程推荐