Come "consentire-da" più di un dominio per "X-Frame-Options" nel controller Rails 4?

Question

In un Ruby on Rails 4 applicazione su cui sto lavorando, ho bisogno di fare una pagina che verrà tirato in un iframe ospitato sul server foo.bar.com, quindi non ho questo metodo di controllo:

def iframed_page 
    response.headers["X-FRAME-OPTIONS"] = "ALLOW-FROM http://foo.bar.com" 
end 

.. e ora risulta che il cliente vuole che anche io autorizzi la whitelist http://foo.dev.bar.com.

So che per l'impostazione di X-FRAME-OPTIONS, l'opzione "ALLOW-FROM" non consente più sottodomini. Ma poiché questo è lo stesso dominio radice con sottodomini diversi, sarebbe un po 'più flessibile? Per esempio, potrei fare qualcosa come

response.headers["X-FRAME-OPTIONS"] = "ALLOW-FROM http://*.bar.com" 

?

Answer 1

È possibile utilizzare invece l'intestazione Content-Security-Policy, ma è doesn't work on everything.

response.headers["X-Content-Security-Policy"] = "frame-ancestors http://*.bar.com"; 
response.headers["Content-Security-Policy"] = "frame-ancestors http://*.bar.com"; 

• Content-Security-Policy sovrascriverà X-Frame-Options sul browser moderni
• X-Content-Security-Policy annulleranno X-Frame-Options su IE11