IFrame та же политика происхождения vaiolation

Question

Я пытаюсь загрузить iframe в url example.com/somefile.html из субдомена sub.example.com/dir/frame.html.

Чтобы избежать нарушения SOP, я установил document.domain attriute example.com в код javascript, как в frame.html & somefile.html.

Это работает в IE и Firefox, но в Chrome я все еще встречаю следующую ошибку: «Отказано в отображении« frame-url »в фрейме, потому что он установил« X-Frame-Options »в« SAMEORIGIN »».

При отладке и проверке обоих файлов document.domain значение Я получаю ожидаемый «example.com».

Может ли кто-нибудь просветить меня?

Answer 1

document.domain хаки просто не влияют на правила X-Frame-Options. Если вы хотите разрешить отображение страницы в кадре, вам необходимо изменить правила X-Frame-Options.

Использовать ALLOW-FROM вместо SAMEORIGIN. spec has guidance в том случае, если вы хотите разрешить доступ к нескольким субдоменам.