Mengatasi "Tampilan terlarang oleh X-Frame-Options"

Saya sedang menulis sebuah halaman web kecil yang tujuannya adalah untuk membingkai beberapa halaman lain, hanya untuk mengkonsolidasikannya ke dalam satu jendela browser untuk memudahkan penglihatan. Beberapa halaman yang saya coba buat bingkai dilarang dibingkai dan melemparkan "Menolak untuk menampilkan dokumen karena tampilan dilarang oleh X-Frame-Options." kesalahan di Chrome. Saya mengerti bahwa ini adalah batasan keamanan (untuk alasan yang baik), dan tidak memiliki akses untuk mengubahnya.

Apakah ada metode framing alternatif atau non-framing untuk menampilkan halaman dalam satu jendela yang tidak akan tersandung oleh header X-Frame-Options?

Saya memiliki masalah serupa, di mana saya mencoba untuk menampilkan konten dari situs kami sendiri dalam iframe (sebagai dialog gaya lightbox dengan Colorbox ), dan di mana kami memiliki header "X-Frame-Options SAMAORIGIN" pada server di server sumber mencegahnya memuat di server pengujian kami.

Tampaknya ini tidak didokumentasikan di mana pun, tetapi jika Anda dapat mengedit halaman yang ingin Anda buka iframe (mis., Itu adalah halaman Anda sendiri), cukup kirim tajuk X-Frame-Options lain dengan string apa saja di semua string nonaktifkan perintah SAMAORIGIN atau DENY.

misalnya. untuk PHP, menempatkan

<?php
    header('X-Frame-Options: GOFORIT'); 
?>

di bagian atas halaman Anda akan membuat browser menggabungkan keduanya, yang menghasilkan tajuk

X-Frame-Options SAMEORIGIN, GOFORIT

... dan memungkinkan Anda memuat halaman dalam iframe. Ini tampaknya berfungsi ketika perintah SAMAORIGIN awal ditetapkan pada tingkat server, dan Anda ingin menimpanya pada kasus halaman-demi-halaman.

Semua yang terbaik!

Jika Anda mendapatkan kesalahan ini untuk video YouTube, daripada menggunakan url lengkap gunakan url embed dari opsi bagikan. Akan terlihat sepertihttp://www.youtube.com/embed/eCfDxZxTBW4

Anda juga dapat mengganti watch?v=dengan embed/begitu http://www.youtube.com/watch?v=eCfDxZxTBW4menjadihttp://www.youtube.com/embed/eCfDxZxTBW4

Jika Anda mendapatkan kesalahan ini saat mencoba menyematkan Google Map ke dalam iframe, Anda perlu menambahkan &output=embedke tautan sumber.

UPDATE 2019: Anda dapat memotong X-Frame-Optionsdengan <iframe>menggunakan JavaScript hanya sisi klien dan Komponen Web X-Frame-Bypass saya . Berikut ini demo: Berita Peretas dalam sebuahX-Frame-Bypass . (Diuji di Chrome & Firefox.)

Menambahkan a

  target='_top'

ke tautan saya di tab facebook memperbaiki masalah untuk saya ...

Ada plugin untuk Chrome, yang menjatuhkan entri header itu (hanya untuk penggunaan pribadi):

https://chrome.google.com/webstore/detail/ignore-x-frame-headers/gleekbfjekiniecknbkamfmkohkpodhe/Review

Jika Anda mendapatkan kesalahan ini dengan mencoba menyematkan konten Vimeo, ubah src iframe,

dari: https://vimeo.com/63534746
ke: http://player.vimeo.com/video/63534746

Saya memiliki masalah yang sama ketika saya mencoba menanamkan moodle 2 di iframe, solusinya Site administration ► Security ► HTTP securitydan periksaAllow frame embedding

Ini solusinya kawan !!

FB.Event.subscribe('edge.create', function(response) {
    window.top.location.href = 'url';
});

Satu-satunya hal yang berfungsi untuk aplikasi facebook!

Tampaknya X-Frame-Options Allow-From https: // ... disusutkan dan diganti (dan diabaikan) jika Anda menggunakan tajuk Kebijakan-Keamanan-Konten .

Berikut ini adalah referensi lengkapnya: https://content-security-policy.com/

Solusi untuk memuat situs web eksternal ke dalam iFrame walaupun sulit, opsi x-frame diatur untuk ditolak di situs web eksternal.

Jika Anda ingin memuat situs web lain ke dalam iFrame dan Anda mendapatkan Display forbidden by X-Frame-Options” kesalahan maka Anda sebenarnya dapat mengatasinya dengan membuat skrip proxy sisi server.

Itu src atribut dari iFrame bisa memiliki url tampak seperti ini:/proxy.php?url=https://www.example.com/page&key=somekey

Maka proxy.php akan terlihat seperti:

if (isValidRequest()) {
   echo file_get_contents($_GET['url']);
}

function isValidRequest() {
    return $_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['key']) && 
    $_GET['key'] === 'somekey';
}

Ini dengan melewati blok, karena itu hanya permintaan GET yang mungkin juga merupakan kunjungan halaman browser biasa.

Berhati-hatilah: Anda mungkin ingin meningkatkan keamanan dalam skrip ini. Karena peretas dapat mulai memuat di laman web melalui skrip proxy Anda.

Saya mencoba hampir semua saran. Namun, satu-satunya hal yang benar-benar menyelesaikan masalah adalah:

1. Buat .htaccessdi dalam folder yang sama di mana file PHP Anda berada.

2. Tambahkan baris ini ke htaccess:

   Header always unset X-Frame-Options

Menyematkan PHP dengan iframe dari domain lain akan berfungsi setelahnya.

Selain itu Anda dapat menambahkan di awal file PHP Anda:

header('X-Frame-Options: ALLOW');

Namun, yang tidak perlu dalam kasus saya.

Saya memiliki masalah yang sama dengan mediawiki, ini karena server menolak menanamkan halaman ke iframe untuk alasan keamanan.

Saya menyelesaikannya menulis

$wgEditPageFrameOptions = "SAMEORIGIN"; 

ke dalam file konfigurasi php mediawiki.

Semoga ini bisa membantu.

FWIW:

Kami memiliki situasi di mana kami harus membunuh kami iFrameketika kode "breaker" ini muncul. Jadi, saya menggunakan PHP function get_headers($url);untuk memeriksa URL jarak jauh sebelum menampilkannya di iFrame. Untuk kinerja yang lebih baik, saya menyalin hasil ke file jadi saya tidak membuat koneksi HTTP setiap kali.

Saya menggunakan Tomcat 8.0.30, tidak ada saran yang bekerja untuk saya. Saat kami ingin memperbarui X-Frame-Optionsdan mengaturnya ALLOW, berikut adalah cara saya mengonfigurasi untuk mengizinkan iframe embed:

• Arahkan ke direktori conf Tomcat, edit file web.xml
• Tambahkan filter di bawah ini:

<filter>
            <filter-name>httpHeaderSecurity</filter-name>
            <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
                   <init-param>
                           <param-name>hstsEnabled</param-name>
                           <param-value>true</param-value>
                   </init-param>
                   <init-param>
                           <param-name>antiClickJackingEnabled</param-name>
                           <param-value>true</param-value>
                   </init-param>
                   <init-param>
                           <param-name>antiClickJackingOption</param-name>
                           <param-value>ALLOW-FROM</param-value>
                   </init-param>
            <async-supported>true</async-supported>
       </filter>

       <filter-mapping>
                   <filter-name>httpHeaderSecurity</filter-name>
                   <url-pattern>/*</url-pattern>
                   <dispatcher>REQUEST</dispatcher>
       </filter-mapping> 

• Mulai kembali layanan Tomcat
• Akses sumber daya menggunakan iFrame.

Satu-satunya pertanyaan yang memiliki banyak jawaban. SELAMAT DATANG di panduan ini saya berharap saya punya ketika saya berjuang untuk ini untuk membuatnya bekerja pada 10:30 malam pada hari batas waktu ... FB melakukan beberapa hal aneh dengan aplikasi kanvas, dan baik, Anda telah diperingatkan. Jika Anda masih di sini dan Anda memiliki aplikasi Rails yang akan muncul di balik Facebook Canvas, maka Anda perlu:

Gemfile:

gem "rack-facebook-signed-request", :git => 'git://github.com/cmer/rack-facebook-signed-request.git'

config / facebook.yml

facebook:
  key: "123123123123"
  secret: "123123123123123123secret12312"

config / application.rb

config.middleware.use Rack::Facebook::SignedRequest, app_id: "123123123123", secret: "123123123123123123secret12312", inject_facebook: false

config / initializers / omniauth.rb

OmniAuth.config.logger = Rails.logger
SERVICES = YAML.load(File.open("#{::Rails.root}/config/oauth.yml").read)
Rails.application.config.middleware.use OmniAuth::Builder do
  provider :facebook, SERVICES['facebook']['key'], SERVICES['facebook']['secret'], iframe:   true
end

application_controller.rb

before_filter :add_xframe
def add_xframe
  headers['X-Frame-Options'] = 'GOFORIT'
end

Anda memerlukan pengontrol untuk menelepon dari pengaturan kanvas Facebook, saya menggunakan /canvas/dan membuat rute menjadi utama SiteControlleruntuk aplikasi ini:

class SiteController < ApplicationController
  def index
    @user = User.new
  end
  def canvas
    redirect_to '/auth/failure' if request.params['error'] == 'access_denied'
    url = params['code'] ? "/auth/facebook?signed_request=#{params['signed_request']}&state=canvas" : "/login"
    redirect_to url
  end
  def login
  end
end

login.html.erb

<% content_for :javascript do %>
  var oauth_url = 'https://www.facebook.com/dialog/oauth/';
  oauth_url += '?client_id=471466299609256';
  oauth_url += '&redirect_uri=' + encodeURIComponent('https://apps.facebook.com/wellbeingtracker/');
  oauth_url += '&scope=email,status_update,publish_stream';
console.log(oauth_url);
  top.location.href = oauth_url;
<% end %>

Sumber

• Konfigurasi yang saya pikir berasal dari contoh omniauth.
• File permata (yang merupakan kunci !!!) berasal dari: slideshare hal yang saya pelajari ...
• Pertanyaan tumpukan ini memiliki seluruh sudut Xframe, jadi Anda akan mendapatkan ruang kosong, jika Anda tidak meletakkan header ini di pengontrol aplikasi.
• Dan teman saya @rafmagana menulis panduan heroku ini , yang sekarang bisa Anda adopsi untuk rel dengan jawaban ini dan bahu raksasa di mana Anda berjalan.

target = '_ parent'

Menggunakan ide Kevin Vella, saya mencoba menambahkan atribut itu untuk membentuk elemen yang dibuat oleh generator tombol PayPal. Berfungsi untuk saya sehingga Paypal tidak terbuka di jendela / tab browser baru.

Saya tidak yakin seberapa relevan itu, tetapi saya membangun solusi untuk ini. Di situs saya, saya ingin menampilkan tautan di jendela modal yang berisi iframe yang memuat URL.

Apa yang saya lakukan adalah, saya menautkan acara klik tautan ke fungsi javascript ini. Semua ini dilakukan adalah membuat permintaan ke file PHP yang memeriksa header URL untuk X-FRAME-Options sebelum memutuskan apakah akan memuat URL dalam jendela modal atau untuk mengarahkan ulang.

Inilah fungsinya:

  function opentheater(link, title){
        $.get( "url_origin_helper.php?url="+encodeURIComponent(link), function( data ) {
  if(data == "ya"){
      $(".modal-title").html("<h3 style='color:480060;'>"+title+"&nbsp;&nbsp;&nbsp;<small>"+link+"</small></h3>");
        $("#linkcontent").attr("src", link);
        $("#myModal").modal("show");
  }
  else{
      window.location.href = link;
      //alert(data);
  }
});


        }

Berikut kode file PHP yang memeriksanya:

<?php
$url = rawurldecode($_REQUEST['url']);
$header = get_headers($url, 1);
if(array_key_exists("X-Frame-Options", $header)){
    echo "nein";
}
else{
    echo "ya";
}


?>

Semoga ini membantu.

Saya menemukan masalah ini ketika menjalankan situs web wordpress. Saya mencoba segala macam hal untuk memperbaikinya dan tidak yakin bagaimana, pada akhirnya masalahnya adalah karena saya menggunakan penerusan DNS dengan masking, dan tautan ke situs eksternal tidak ditangani dengan baik. yaitu situs saya di-host di http: //123.456.789/index.html tetapi ditutup untuk dijalankan di http://somewebSite.com/index.html . Ketika saya memasukkan http: //123.456.789/index.html di browser mengklik tautan yang sama menghasilkan tidak ada masalah X-frame-asal di konsol JS, tetapi menjalankan http://somewebSite.com/index.htmlmelakukan. Untuk menutupi dengan benar Anda harus menambahkan server nama DNS host Anda ke layanan domain Anda, yaitu godaddy.com harus memiliki server nama misalnya, ns1.digitalocean.com, ns2.digitalocean.com, ns3.digitalocean.com, jika Anda menggunakan digitalocean.com sebagai layanan hosting Anda.

Mengejutkan bahwa tidak ada seorang pun di sini yang pernah menyebut Apachepengaturan server ( *.conffile) atau .htaccessfile itu sendiri sebagai penyebab kesalahan ini. Cari melalui file konfigurasi .htaccessatau Anda Apache, pastikan Anda tidak memiliki set berikut ini untuk DENY:

Header always set X-Frame-Options DENY

Mengubahnya menjadi SAMEORIGIN, membuat hal-hal berfungsi seperti yang diharapkan:

Header always set X-Frame-Options SAMEORIGIN

Satu-satunya jawaban nyata, jika Anda tidak mengontrol tajuk pada sumber yang Anda inginkan di iframe Anda, adalah dengan mem-proxy-nya. Minta server bertindak sebagai klien, terima sumbernya, hapus header yang bermasalah, tambahkan CORS jika perlu, lalu ping server Anda sendiri.

Ada satu jawaban lain yang menjelaskan cara menulis proxy semacam itu. Itu tidak sulit, tetapi saya yakin seseorang harus melakukan ini sebelumnya. Sulit menemukannya, karena suatu alasan.

Saya akhirnya menemukan beberapa sumber:

https://github.com/Rob--W/cors-anywhere/#documentation

^ disukai. Jika Anda membutuhkan penggunaan yang langka, saya pikir Anda bisa menggunakan aplikasi heroku-nya. Kalau tidak, itu kode untuk menjalankannya sendiri di server Anda sendiri. Perhatikan dengan pasti apa batasannya.

whateverorigin.org

^ pilihan kedua, tetapi cukup tua. seharusnya pilihan yang lebih baru dengan python: https://github.com/Eiledon/alloworigin

lalu ada pilihan ketiga:

http://anyorigin.com/

Yang tampaknya memungkinkan penggunaan gratis sedikit, tetapi akan menempatkan Anda pada daftar rasa malu publik jika Anda tidak membayar dan menggunakan sejumlah yang tidak ditentukan, yang hanya dapat Anda hapus jika Anda membayar biaya ...

Tidak disebutkan tetapi dapat membantu dalam beberapa kasus:

var xhr = new XMLHttpRequest();
xhr.onreadystatechange = function() {
    if (xhr.readyState !== 4) return;
    if (xhr.status === 200) {
        var doc = iframe.contentWindow.document;
        doc.open();
        doc.write(xhr.responseText);
        doc.close();
    }
}
xhr.open('GET', url, true);
xhr.send(null);

Gunakan baris yang diberikan di bawah ini sebagai ganti header()fungsi.

echo "<script>window.top.location = 'https://apps.facebook.com/yourappnamespace/';</script>";

Saya punya masalah ini, dan mengatasinya dengan mengedit httd.conf

<IfModule headers_module>
    <IfVersion >= 2.4.7 >
        Header always setifempty X-Frame-Options GOFORIT
    </IfVersion>
    <IfVersion < 2.4.7 >
        Header always merge X-Frame-Options GOFORIT
    </IfVersion>
</IfModule>

Saya mengubah SAMAORIGIN menjadi GOFORIT dan memulai kembali server

Cobalah hal ini, saya rasa tidak ada orang yang menyarankan hal ini dalam Topik, ini akan menyelesaikan seperti 70% dari masalah Anda, untuk beberapa halaman lain, Anda harus memo, saya punya solusi lengkap tetapi tidak untuk umum,

Tambahkan di bawah ini ke iframe Anda

sandbox = "allow-same-origin allow-scripts allow-popups allow-form"

Edit .htaccess jika Anda ingin menghapus X-Frame-Options dari seluruh direktori.

Dan tambahkan baris: Header selalu membatalkan X-Frame-Options

[isi dari: Mengatasi "Tampilan yang dilarang oleh X-Frame-Options"