从指定网站渲染 iframe 时出现内容安全策略错误

Question

我目前正在尝试允许特定网站呈现我网站的 iframe，但添加到我的根 web.config 文件中的以下内容安全策略似乎没有起到作用：

<add name="Content-Security-Policy" value="frame-ancestors https://https://iframetester.com/;" />

我收到以下错误：

拒绝框架“我的网站 URL”，因为祖先违反了 以下内容安全策略指令：“frame-ancestors ‘自我’”。

我缺少/不理解什么？如何仅允许特定网站从我的网站呈现 iframe？

Answer 1

您尝试嵌入的网站具有设置frame-ancestors“self”，这意味着它只能被具有同一主机的其他页面构建。其他主机不允许对其进行帧处理。添加您自己的框架祖先只会限制谁可以构建您的页面。你有3个选择

1. 请勿框架此页面，因为它不打算被其他人框架。
2. 询问您的主机是否可以添加到允许的成帧者列表中。
3. 通过删除 content-security-policy 标头的代理加载页面。但不要这样做，设置会很混乱，并且首先可能有充分的理由禁止框架。