解决设置X-Frame-Options后Response有多个值

最新推荐文章于 2024-07-11 16:00:34 发布

原创最新推荐文章于 2024-07-11 16:00:34 发布 · 1.3w 阅读

CC 4.0 BY-SA版权

本文解决了一个在前后端分离项目中使用iframe嵌入swagger遇到的问题，即X-Frame-Options设置多个值导致的冲突。通过调整nginx配置，使用proxy_hide_header隐藏原有值，并设置add_header来指定单一的SAMEORIGIN值，最终解决了浏览器的安全策略警告。

解决设置X-Frame-Options后Response有多个值

起因：最近在做前后端分离的项目，项目中需要把swagger嵌套进来，用了iframe但是却提示

Refused to display 'http://xxxxxxxxxxxxx' in a frame because it set 'X-Frame-Options' to 'deny'.

首先当然是百度，结果是在nginx的http/server/location下设置add_header X-Frame-Options SAMEORIGIN always; 这个就可以解决问题（PS：我只在location下设置后才生效），当然遵从百度，nginx设置后重启，刷新页面此时报错

Refused to display 'http://xxxxxxxxxxxxxxxx' in a frame because it set multiple 'X-Frame-Options' headers with conflicting values ('DENY, SAMEORIGIN'). Falling back to 'deny'.

X-Frame-Options被设置了多个值，查看Response，发现果然返回了多个值，继续百度。。。。。ing
在这里插入图片描述
结果是百度根本没有这个解决的方案，清一色的统一回答，无奈谷歌全英搜索（搜出来的会是外国的帖子），几经寻找以后发现了一个帖子
帖子中给了一个参数proxy_hide_header X-Frame-Options; 隐藏这个header，重新修改nginx配置

location /xxx {
			proxy_hide_header X-Frame-Options;
			add_header X-Frame-Options SAMEORIGIN always;
			proxy_pass  http://xxxxxxxxxx/swagger-ui.html;
}

这个样子，然后重启，刷新页面，Response中只有SAMEORIGIN这个了，Deny被干掉。
ok问题解决。