nginx 的安全策略问题

原创已于 2023-05-11 09:58:04 修改 · 3.5k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#前端 #html

于 2023-05-09 10:38:01 首次发布

web服务器专栏收录该内容

2 篇文章

订阅专栏

文章讲述了在前端使用iframe时遇到的安全策略错误，特别是关于frame-ancestors的设置。解决方案是在nginx配置中添加特定的安全策略头，允许同源嵌入。通过修改Content-Security-Policy，设置为允许自身和特定域名的嵌入。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1:前端嵌入iframe 时，有时汇报安全策略如下：

in a frame because an ancestor violates the following Content Security Policy directive: "frame-ancestors ‘self’。

这里主要是 frame-ancestors的参数需要调整。

# 不允许被嵌入，包括<frame>, <iframe>, <object>, <embed> 和 <applet>
Content-Security-Policy: frame-ancestors 'none'
# 只允许被同源的页面嵌入
Content-Security-Policy: frame-ancestors 'self'
# 只允许被白名单内的页面嵌入
Content-Security-Policy: frame-ancestors www.example.com

2:解决

在nginx的 nginx.conf 的http 下面加入安安全策略

add_header Content-Security-Policy "default-src * data: 'unsafe-inline' blob: 'unsafe-eval';frame-src 'self'; frame-ancestors 'self' http://*";