127.0.0.1 将不允许 Firefox 显示嵌入于其他网站的页面

最新推荐文章于 2024-09-08 23:05:53 发布

原创最新推荐文章于 2024-09-08 23:05:53 发布 · 1w 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#X-Frame-Options #iframe #网页嵌套

Spring 专栏收录该内容

39 篇文章

订阅专栏

本文介绍如何在SpringBoot项目中使用SpringSecurity与Thymeleaf，解决iframe嵌套引起的X-Frame-Options安全问题，通过配置WebSecurityConfigurerAdapter实现类，确保页面能在iframe中正确加载。

springboot + springsecurity + thymeleaf （版本2.2.6)

嵌套iframe中出现：127.0.0.1/localhost 将不允许 Firefox 显示嵌入于其他网站的页面

点击了解详细信息：https://developer.mozilla.org/de/docs/Web/HTTP/Headers/X-Frame-Options

提示需要将服务器端页面返回响应头增加：X-Frame-Options

// deny 不允许iframe嵌套
X-Frame-Options: deny
// sameorigin 允许同源嵌套
X-Frame-Options: sameorigin
// 允许指定地址嵌套
X-Frame-Options: allow-from https://example.com/

在WebSecurityConfigurerAdapter实现类中增加配置如下：

@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
            ...省略...
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        ...省略...
        // 同源头
        http.headers().frameOptions().sameOrigin();
    }

}