Cách ghi đè X-Frame-Options cho bộ điều khiển hoặc hành động trong Rails 4

Question 1

Rails 4 dường như đặt giá trị mặc định SAMEORIGINcho X-Frame-Optionstiêu đề phản hồi HTTP. Điều này rất tốt cho bảo mật, nhưng nó không cho phép các phần của ứng dụng của bạn khả dụng iframetrên một miền khác.

Bạn có thể ghi đè giá trị của X-Frame-Optionstoàn cục bằng cách sử dụng config.action_dispatch.default_headerscài đặt:

config.action_dispatch.default_headers['X-Frame-Options'] = "ALLOW-FROM https://apps.facebook.com"

Nhưng làm thế nào để bạn ghi đè nó chỉ cho một bộ điều khiển hoặc hành động duy nhất?

Question 2

Nếu bạn muốn xóa tiêu đề hoàn toàn, bạn có thể tạo một after_actionbộ lọc:

class FilesController < ApplicationController
  after_action :allow_iframe, only: :embed

  def embed
  end

private

  def allow_iframe
    response.headers.except! 'X-Frame-Options'
  end
end

Hoặc, tất nhiên, bạn có thể viết mã after_actionđể đặt giá trị thành một giá trị khác:

class FacebookController < ApplicationController
  after_action :allow_facebook_iframe

private

  def allow_facebook_iframe
    response.headers['X-Frame-Options'] = 'ALLOW-FROM https://apps.facebook.com'
  end
end

Lưu ý rằng bạn cần xóa bộ nhớ cache của mình trong một số trình duyệt nhất định (đối với tôi là Chrome) trong khi gỡ lỗi này.

Question 3

Tôi chỉ muốn đưa câu trả lời cập nhật vào đây cho bất kỳ ai tìm thấy liên kết này khi cố gắng tìm ra cách cho phép ứng dụng Rails của bạn được nhúng vào I-Frame và gặp sự cố.

Khi viết bài này, ngày 28 tháng 5 năm 2020, các thay đổi X-Frame-Options có lẽ không phải là giải pháp tốt nhất cho vấn đề của bạn. Tùy chọn "CHO PHÉP TỪ" hoàn toàn không được phép bởi tất cả các trình duyệt chính.

Giải pháp hiện đại là thực hiện Chính sách-Bảo mật-Nội dung và đặt chính sách 'Tổ tiên khung'. Khóa 'frame_ancestors' chỉ định miền nào có thể nhúng ứng dụng của bạn dưới dạng iframe. Nó hiện được hỗ trợ bởi các trình duyệt chính và ghi đè X-Frame-Options của bạn. Điều này sẽ cho phép bạn ngăn chặn Clickjacking (mà X-Frame-Options ban đầu được dự định để trợ giúp trước khi nó phần lớn không được dùng nữa) và khóa ứng dụng của bạn trong một môi trường hiện đại.

Bạn có thể thiết lập Nội dung-Bảo mật-Chính sách với Rails 5.2 trong trình khởi tạo (ví dụ bên dưới) và đối với Rails <5.2, bạn có thể sử dụng một viên đá quý như đá quý Secure Headers: https://github.com/github/secure_headers

Bạn cũng có thể ghi đè các thông số kỹ thuật chính sách trên cơ sở bộ điều khiển / hành động nếu bạn muốn.

Nội dung-Bảo mật-Chính sách là rất tốt cho các biện pháp bảo mật nâng cao. Kiểm tra tất cả những thứ bạn có thể định cấu hình trong tài liệu Rails: https://edgeguides.rubyonrails.org/security.html

Ví dụ về Rails 5.2 cho Nội dung-Bảo mật-Chính sách:

# config/initializers/content_security_policy.rb    
    Rails.application.config.content_security_policy do |policy|
      policy.frame_ancestors :self, 'some_website_that_embeds_your_app.com'
    end

Ví dụ về thay đổi cụ thể của bộ điều khiển đối với chính sách:

# Override policy inline
class PostsController < ApplicationController
  content_security_policy do |p|
    p.frame_ancestors :self, 'some_other_website_that_can_embed_posts.com'
  end
end

Question 4

Đối với Rails 5+, hãy sử dụng response.set_header('X-Frame-Options', 'ALLOW-FROM https://apps.facebook.com')thay thế. Hoặc nếu ALLOW-FROMkhông hoạt động và bạn cần sửa chữa nhanh, bạn có thể đặt nó thànhALLOWALL