在Yandex中删除nginx中的“ X-Frame-Options”标头

Question

最近我开始使用yandex的分析工具，它为您提供了有关访问者的详细信息，即使它记录了每个访问者来访问您的网站的视频...该工具的链接IS：metrica.yandex.com它是完全免费的

无论如何，yandex工具提供了一个名为MAP的选项，该选项显示了访问者点击您网站上最多的位置，因此当我尝试使用

时

我收到一条错误消息说：

 Not possible to replay visit on the given page. Possible reasons:
 Counter code not configured
 Displaying this page in a frame is forbidden

，我很确定它配置了好的计数器代码，并且我将其放在网站上的正确位置，因此我访问了帮助页链接：yandex.com/support/metrica/behavior/click-map。html

看看问题是什么，所以我发现

If your site is protected from being shown in an iframe (the X-Frame-Options header is used in the server settings), the collected data won't be available for viewing. To view the site's session data, you must change the server settings and add an exception for the webvisor.com domain and subdomains, as well as for your site's domain. Use the regular expression

他们将使用Nginx的用户提供给需要在配置文件中添加的代码以使地图正常工作

所以我添加了它，这是我的配置文件，添加了几行

.....    
server_name _;
            location / {
                    # First attempt to serve request as file, then
                    # as directory, then fall back to displaying a 404.
                    try_files $uri $uri/ =404;
                    set $frame_options '';
                    if ($http_referer !~ '^https?://([^/]+.)?(www.google.com|webvisor.com)/'){
                    set $frame_options 'SAMEORIGIN';
            }
                    add_header X-Frame-Options $frame_options;
    }
.....

我已使用www.google.com更改了域名

但是，错误仍然向我显示我不知道为什么，但也许我错过了一些步骤...请伙计们建议我一个可能的解决方案，我需要很多选择，以了解我可以放置广告

Answer 1

我最近遇到了Yandex Metrica的同样问题。他们的错误消息有点误导，因为在我的情况下，原因是Content-Security-Policy设置，而不是X-Frame-Options。检查文档中是否使用CSP在网站上安装计数器，并尝试在Nginx配置中添加类似以下内容：

add_header      Content-Security-Policy "frame-src blob: https://mc.yandex.ru https://mc.yandex.com https://mc.webvisor.com https://mc.webvisor.org";
add_header      Content-Security-Policy "child-src blob: https://mc.yandex.ru https://mc.yandex.com https://mc.webvisor.com https://mc.webvisor.org";
add_header      Content-Security-Policy "script-src 'unsafe-inline' https://yastatic.net https://mc.yandex.ru https://mc.yandex.com 'self'";

Answer 2

在链接上https://yandex.com/support/metrica/behavior/click-map.html他们说的是奇怪的方式，而不是content-security-policy。但是，正如我所看到的，域是webvisor.com我认为。因此，您可以将您的内容 - 安全性 - 件定义为*.webvisor.com