nginx配置X-Frame-Options允许多个域名iframe嵌套

2020-11-07 16:31:02

X-Frame-Options HTTP 响应头是用来给浏览器指示允许一个页面可否在 <frame>, </iframe> 或者 <object> 中展现的标记。网站可以使用此功能，来确保自己网站的内容没有被嵌套到别人的网站中去，也从而避免了点击劫持 (clickjacking) 的***。

nginx配置X-Frame-Options有四个参数:

1、DENY
表示该页面不允许在frame中展示，即便是在相同域名的页面中嵌套也不允许。
nginx配置示例：add_header X-Frame-Options DENY;

2、SAMEORIGIN
表示该页面可以在相同域名页面的frame中展示。
nginx配置示例：add_header X-Frame-Options SAMEORIGIN;

3、ALLOW-FROM url
表示该页面可以在指定来源的frame中展示。
nginx配置示例：add_header X-Frame-Options 'ALLOW-FROM https://xxx.xxxxxx.com';
‘’引号是必须要写的哦！

4、ALLOWALL
表示该页面允许全部来源域名的frame展示。
nginx配置示例：add_header X-Frame-Options ALLOWALL;

有时候我们需要允许多个url的来源，但是又不能全部开放，所以应该匹配第三种方法ALLOW-FROM url，那么多个url该如何配置呢，百度了所有网站都没有找到，那么这里写给大家，其实很简单：
add_header X-Frame-Options 'ALLOW-FROM https://xxx.xxxxxx.com https://xxx2.xxxxxxx.com';
就是使用空格隔开就好了！


  • 精彩推荐

  • 2021-01-12 22:05:56

    ios 代码写Button小结

    本文实现的是一个不用拖控件，而是用代码写出一个按钮，然后点击弹出一个警告信息，有人问那么好的IB工具不用却去苦逼的写代码呢？因为IB高度集成开发工具，拖出的控件帮我省了很大麻烦，这个过程农民工也可以干，但是作为初学者，IB是个比较高层的东西，我们是不是应该了解一下IB底层的东西呢，如果一味追求方便快捷，哪天突然有人问怎么用代码写出来，咱岂不是要被鄙视了；所以吧，初学者不要学懒，多写代码提高我们的编程能力，当我们在开发项目或者在公司工作去用IB，来帮我们节省时间提高效率；

  • 2021-01-12 22:13:23

    UINavigationController和UIScrollView滚动-92

    如果navigation bar或者toolbar不透明，view controller就无法让它的view全屏显示。换句话说，如果不希望view controller里面的view全屏显示，就应该把navigation bar设为不透明。

  • 2021-01-12 22:15:46

    NSLog各种打印占位符

    打印CGRect : NSLog(@"%@",NSStringFromCGRect(someCGRect)); 或者CFShow(NSStringFromCGRect(someCGRect));

  • 2021-01-13 13:36:29

    shortid nodejs短id生成器

    短ID在实际运用中很广泛， 其中比较典型的运用就是短地址。 市面上肯定有不少开源的生成短ID库， 基于node.js的估计也不少。 鉴于本人已然是node.js的脑残粉(本职java开发), 很多业余项目从前端到后端都基于javascript开发， 加上npm和bower的包管理以及grunt的打包工具， 在项目开发过程中体验特别酸爽。 由于当时项目前后端都会用到短ID， 但没找到合适的库同时支持npm和bower的(可能孤陋寡闻). 因此自己乐此不疲地又造了个轮子js-shortid(夷，为什么会说又呢?!). 下面主要介绍它的实现方案， 自认为比较优雅简洁。

  • 2021-01-13 17:23:21

    CREATE TABLE 表名 AS SELECT 语句 快速复制表但是锁表

    注意Table2的主键约束，如果Table2有主键而且不为空，则 field1， field2…中必须包括主键 在执行语句的时候，MySQL是逐行加锁的（扫描一个锁一个），直至锁住所有符合条件的数据，执行完毕才释放锁。所以当业务在进行的时候，切忌使用这种方法。 在RR隔离级别下，还会加行锁和间隙锁