Surmonter “Afficher interdit par X-Frame-Options”

Si vous obtenez cette erreur pour une vidéo de YouTube, plutôt que d'utiliser l'url complète d'utilisation de l'intégration url de la quote-part des options. Il ressemblera à http://www.youtube.com/embed/eCfDxZxTBW4

Vous pouvez aussi remplacer watch?v= avec embed/ donc http://www.youtube.com/watch?v=eCfDxZxTBW4 devient http://www.youtube.com/embed/eCfDxZxTBW4

Mise à JOUR 2019: Vous peut de dérivation X-Frame-Options dans un <iframe> juste à l'aide de JavaScript côté client et mon X-Frame-Bypass Composant Web. Voici une démo: Hacker News dans un X-Frame-Bypass. (Testé dans Chrome & Firefox.)

Il y a un plugin pour Chrome, que les gouttes que l'entrée d'en-tête (pour une utilisation personnelle uniquement):

https://chrome.google.com/webstore/detail/ignore-x-frame-headers/gleekbfjekiniecknbkamfmkohkpodhe/reviews

J'ai eu le même problème lorsque j'ai essayé d'incorporer moodle 2 en iframe, la solution est Site administration ► Security ► HTTP security et vérifier Allow frame embedding

Solution pour le chargement d'un site web dans une iFrame même les plus difficiles de la x-frame option est définie à refuser sur le site web externe.

Si vous souhaitez charger un autre site web dans une iFrame et vous obtenez le Display forbidden by X-Frame-Options” erreur alors vous pouvez résoudre ce problème en créant un serveur proxy côté de script.

La src attribut de l'iFrame pourrait avoir une url comme ceci: /proxy.php?url=https://www.example.com/page&key=somekey

Alors proxy.php ressemblerait à quelque chose comme:

if (isValidRequest()) {
   echo file_get_contents($_GET['url']);
}

function isValidRequest() {
    return $_SERVER['REQUEST_METHOD'] === 'GET' && isset($_GET['key']) && 
    $_GET['key'] === 'somekey';
}

Cela passe par le bloc, parce que c'est une demande qui pourrait aussi bien avoir été une simple page de navigateur de visite.

Être conscient: Vous souhaiterez peut-être améliorer la sécurité dans ce script. Parce que les pirates pourrait commencer le chargement de pages web par l'intermédiaire de votre script de proxy.

Il semble que X-Frame-Options Permettent-https://... est dépréciée et a été remplacé (et est ignorée) si vous utilisez Contenu de la Politique de Sécurité en-tête de la place.

Voici la référence complète: https://content-security-policy.com/

FWIW:

Nous avons eu une situation où nous avons besoin de tuer notre iFrame lorsque cette "disjoncteur", le code a montré jusqu'à. Donc, j'ai utilisé le PHP function get_headers($url); de vérifier l'URL distante avant de le présenter dans un iFrame. Pour de meilleures performances, j'ai mis en cache les résultats dans un fichier donc je n'étais pas de faire une connexion HTTP à chaque fois.

La seule question qui a un tas de réponses. Bienvenue sur le guide, je souhaite que j'avais quand j'étais brouillage pour cette pour le faire fonctionner à 10:30 dans la nuit à la date d'échéance de la journée... FB fait un peu bizarre de choses avec de la toile applications, et bien, vous avez été prévenu. Si vousune re toujours là et vous avez une application Rails qui apparaîtra derrière un Facebook Toile, alors vous aurez besoin de:

Gemfile:

gem "rack-facebook-signed-request", :git => 'git://github.com/cmer/rack-facebook-signed-request.git'

config/facebook.yml

facebook:
  key: "123123123123"
  secret: "123123123123123123secret12312"

config/application.rb

config.middleware.use Rack::Facebook::SignedRequest, app_id: "123123123123", secret: "123123123123123123secret12312", inject_facebook: false

config/initializers/omniauth.rb

OmniAuth.config.logger = Rails.logger
SERVICES = YAML.load(File.open("#{::Rails.root}/config/oauth.yml").read)
Rails.application.config.middleware.use OmniAuth::Builder do
  provider :facebook, SERVICES['facebook']['key'], SERVICES['facebook']['secret'], iframe:   true
end

application_controller.rb

before_filter :add_xframe
def add_xframe
  headers['X-Frame-Options'] = 'GOFORIT'
end

Vous avez besoin d'un contrôleur à l'appel de Facebook la toile de paramètres, j'ai utilisé /canvas/ et fait le trajet aller les principaux SiteController pour cette application:

class SiteController < ApplicationController
  def index
    @user = User.new
  end
  def canvas
    redirect_to '/auth/failure' if request.params['error'] == 'access_denied'
    url = params['code'] ? "/auth/facebook?signed_request=#{params['signed_request']}&state=canvas" : "/login"
    redirect_to url
  end
  def login
  end
end

de connexion.html.erb

<% content_for :javascript do %>
  var oauth_url = 'https://www.facebook.com/dialog/oauth/';
  oauth_url += '?client_id=471466299609256';
  oauth_url += '&redirect_uri=' + encodeURIComponent('https://apps.facebook.com/wellbeingtracker/');
  oauth_url += '&scope=email,status_update,publish_stream';
console.log(oauth_url);
  top.location.href = oauth_url;
<% end %>

Sources

• La config je pense que venait de omniauth l'exemple.
• Le joyau de fichier (qui est la clé!!!) origine: slideshare choses que j'ai apprises...
• Cette pile question a l'ensemble Xframe angle, de sorte que vous aurez un espace vide, si
  vous ne mettez pas cet en-tête dans le contrôleur app.
• Et mon homme @rafmagana écrit ce heroku guide, qui maintenant, vous pouvez adopter pour les rails avec cette réponse et les épaules de géants dans laquelle vous marchez avec.

Je ne suis pas sûr de savoir comment il est pertinent, mais j'ai construit un travail autour de cela. Sur mon site, j'ai voulu afficher le lien dans une fenêtre modale qui contenait une iframe qui charge l'URL.

Ce que j'ai fait est, je l'ai lié l'événement click sur le lien vers cette fonction javascript. Tout cela n'est de faire une requête vers un fichier PHP qui vérifie l'URL en-têtes X-FRAME-Options avant de décider de charger l'URL dans la fenêtre modale ou à rediriger.

Voici la fonction:

  function opentheater(link, title){
        $.get( "url_origin_helper.php?url="+encodeURIComponent(link), function( data ) {
  if(data == "ya"){
      $(".modal-title").html("<h3 style='color:480060;'>"+title+"&nbsp;&nbsp;&nbsp;<small>"+link+"</small></h3>");
        $("#linkcontent").attr("src", link);
        $("#myModal").modal("show");
  }
  else{
      window.location.href = link;
      //alert(data);
  }
});


        }

Voici le fichier PHP du code qui vérifie:

<?php
$url = rawurldecode($_REQUEST['url']);
$header = get_headers($url, 1);
if(array_key_exists("X-Frame-Options", $header)){
    echo "nein";
}
else{
    echo "ya";
}


?>

Espère que cette aide.

Il est surprenant que personne ici n'a jamais mentionné Apache paramètres du serveur (*.conf fichiers) ou .htaccess fichier lui-même comme étant une cause de cette erreur. Recherche par le biais de votre .htaccess ou Apache fichiers de configuration, assurez-vous de ne pas avoir le jeu suivant de DENY:

Header always set X-Frame-Options DENY

De la modifier à SAMEORIGIN, rend les choses fonctionnent comme prévu:

Header always set X-Frame-Options SAMEORIGIN

Ne sont pas mentionnés, mais peut aider dans certains cas:

var xhr = new XMLHttpRequest();
xhr.onreadystatechange = function() {
    if (xhr.readyState !== 4) return;
    if (xhr.status === 200) {
        var doc = iframe.contentWindow.document;
        doc.open();
        doc.write(xhr.responseText);
        doc.close();
    }
}
xhr.open('GET', url, true);
xhr.send(null);

j'ai eu ce problème, et résolu d'édition qu'il httd.conf

<IfModule headers_module>
    <IfVersion >= 2.4.7 >
        Header always setifempty X-Frame-Options GOFORIT
    </IfVersion>
    <IfVersion < 2.4.7 >
        Header always merge X-Frame-Options GOFORIT
    </IfVersion>
</IfModule>

j'ai changé SAMEORIGIN à GOFORIT
et redémarré le serveur

Essayer cette chose, je ne pense pas que quelqu'un l'a suggéré dans le Sujet, cela permettra de résoudre 70% de votre question, pour certains, d'autres pages, vous avez de la ferraille, j'ai la solution complète, mais pas pour le public,

Ci-dessous pour AJOUTER votre iframe

sandbox="allow-même d'origine autoriser les scripts autoriser les popups de permettre à des formes"