Безопасно ли использовать директиву X-Frame-Options Allow-From?

Question

Безопасно ли использовать директиву X-Frame-Options Allow-From?

Я пытался найти ответ на этот вопрос, но не смог найти ничего определенного. Для X-Frame-Options, кажется, есть только ограниченная поддержка опции "Разрешить из", которая позволяет вам внести в белый список URL-адрес, который может встроить ваш сайт в iFrame (на основе http://caniuse.com/, где браузеры с желтыми блоками - это те, которые не поддерживают опцию "Allow-From").

Я хочу внести в белый список URL-адрес стороннего сайта, который загружает мой сайт в iFrame специально для Safari на iOS (по какой-то причине это не относится к любому другому браузеру для мобильных устройств или компьютеров). В чем я не уверен, так это в случае использования "Allow-From"; в браузерах, которые его не поддерживают. Безопасно ли его использовать или это может вызвать угрозу безопасности из-за непредсказуемого аварийного поведения?

Благодарен за любые указатели.

1

apache-2.2 nginx http http-headers x-frame-options

Источник

jawilson 03 окт '16 в 14:03

1 ответ

Другие вопросы по тегам apache-2.2 nginx http http-headers x-frame-options

ezra-s 04 окт '16 в 19:22 2016-10-04 19:22 · Answer 1 · 2016-10-04 19:22

Клиенты, которые не поддерживают его, будут игнорировать его, в нем больше ничего нет и нет запасного или промежуточного термина.

Я бы порекомендовал вам использовать CSP (Content Security Policy), которая имеет более широкий спектр клиентских браузеров, которые поддерживают ее и допускают гораздо более специфические настройки.