रेल 4 नियंत्रक में "एक्स-फ़्रेम-विकल्प" के लिए एक से अधिक डोमेन को "अनुमति दें" कैसे करें?

Question

एक रूबी ऑन रेल्स 4 आवेदन में मैं पर काम कर रहा हूँ, मैं एक पृष्ठ है कि एक iframe foo.bar.com सर्वर पर होस्ट में खींच लिया हो जाएगा बनाने की जरूरत है, तो मैं इस नियंत्रक विधि है:

def iframed_page 
    response.headers["X-FRAME-OPTIONS"] = "ALLOW-FROM http://foo.bar.com" 
end 

.. और अब यह पता चला है कि ग्राहक चाहता है कि मैं http://foo.dev.bar.com को श्वेतसूची भी दूं।

मुझे पता है कि एक्स-फ्रेम-विकल्प सेट करने के लिए, "ALLOW-FROM" विकल्प एकाधिक सबडोमेन की अनुमति नहीं देता है। लेकिन चूंकि यह एक ही रूट डोमेन है जो विभिन्न सबडोमेन के साथ है, क्या यह थोड़ा और अधिक लचीला होगा? उदाहरण के लिए, क्या मैं

response.headers["X-FRAME-OPTIONS"] = "ALLOW-FROM http://*.bar.com" 

जैसे कुछ भी कर सकता था?

Answer 1

आप इसके बजाय Content-Security-Policy शीर्षलेख का उपयोग कर सकते हैं, लेकिन यह doesn't work on everything है।

response.headers["X-Content-Security-Policy"] = "frame-ancestors http://*.bar.com"; 
response.headers["Content-Security-Policy"] = "frame-ancestors http://*.bar.com"; 

• Content-Security-Policy आधुनिक ब्राउज़रों पर X-Frame-Options को पार कर जाएगी
• X-Content-Security-Policy IE11 पर X-Frame-Options को पार कर जाएगी

[X फ़्रेम-विकल्पों की अनुमति दें-से एकाधिक डोमेन] (http के