无界框架in a frame because it set 'X-Frame-Options' to 'sameorigin'.

### 解决方案 当服务器设置了 `X-Frame-Options` 为 `SAMEORIGIN` 时，意味着只有同源的页面可以加载该资源。如果目标页面与父页面不同源，则会触发浏览器的安全策略，阻止页面加载[^2]。 #### 方法一：调整 X-Frame-Options 设置 可以通过修改 HTTP 响应头中的 `X-Frame-Options` 来解决问题。以下是几种常见的解决方案： 1. **设置为 ALLOW-FROM** 如果希望特定来源能够访问页面，可将 `X-Frame-Options` 的值更改为 `ALLOW-FROM uri`，其中 `uri` 是允许嵌入的域。例如，在 Java Web 应用中通过过滤器实现： ```java @WebFilter(filterName = "CustomFrameFilter", urlPatterns = "/*") public class CustomFrameFilter implements Filter { public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletResponse response = (HttpServletResponse) res; response.setHeader("X-Frame-Options", "ALLOW-FROM http://example.com"); chain.doFilter(req, response); } public void init(FilterConfig config) throws ServletException {} public void destroy() {} } ``` 2. **禁用 X-Frame-Options（不推荐）** 完全移除 `X-Frame-Options` 头部可以让任意站点加载此页面，但这可能会带来点击劫持等安全风险。因此仅适用于开发环境或受信任场景下测试使用。 #### 方法二：启用 Content-Security-Policy 替代 现代浏览器支持更为灵活的 `Content-Security-Policy` （CSP），它提供了更高的安全性以及更多控制选项。可以用 CSP 的 `frame-ancestors` 指令替代传统的 `X-Frame-Options` 。例如： ```http Content-Security-Policy: frame-ancestors 'self' https://trusted-domain.com; ``` 这表示只允许来自本域 (`'self'`) 和指定可信域 (`https://trusted-domain.com`) 加载 iframe 页面[^3]。 #### 方法三：跨域资源共享 CORS 配置 对于完全不同的两个独立服务之间通信需求，考虑采用标准的 Cross-Origin Resource Sharing(CORS)，虽然主要针对 AJAX 请求设计，但在某些情况下也可以间接影响 iframe 行为。 --- ### 示例代码片段 下面是一个基于 Spring Boot 实现自定义响应头部的例子： ```java import org.springframework.stereotype.Component; import javax.servlet.Filter; import javax.servlet.FilterChain; import javax.servlet.ServletException; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.io.IOException; @Component public class FrameSecurityFilter implements Filter { @Override public void doFilter(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException { // Allow embedding from specific domains or remove restriction entirely. response.addHeader("Content-Security-Policy", "frame-ancestors 'self' https://allowed-origin.com;"); chain.doFilter(request, response); } } ``` --- ### 注意事项 无论采取哪种方式，请务必评估潜在安全隐患并确保实施适当防护措施来防止恶意攻击者利用这些更改进行非法操作。