拒绝在帧中显示'url'，因为它将'X-Frame-Options'设置为"同源"。JavaScript代码的问题

Question

我在一个网站上工作，当你搜索它时隐藏你的历史

function code(url) {
var win = window.open();
win.document.body.style.margin = '0';
win.document.body.style.height = '100vh';
var f = win.document.createElement("iframe");
window.focus();
// url is already declared in function
if (!url) return;
f.style.width = "100%";
f.style.height = "100%";
f.style.border = 'none';
f.style.margin = '0';
win.document.body.appendChild(f);
f.src = url
}

这是它的javascript代码。

去youtube上的时候,有一个错误检查元素读

拒绝在框架中显示'https://www.youtube.com/'，因为它将'X-Frame-Options'设置为'sameorigin'

有办法解决这个问题吗?

Answer 1

不行。

由于安全原因，服务器可能不允许加载iframe。

你必须明白，一个iframe可以调整大小和不透明的css，仍然是可点击的。对于那些可能无意中与他们可能登录的应用程序交互的用户来说，这可能是一个安全风险。

如果在http响应的http头中没有X-Frame-Options，服务器将允许它。

在这种情况下，YouTube将通过在http响应中设置X-Frame-Options : DENY或X-Frame-Options: SAMEORIGIN来阻止它。