AWS 中缺少配置放大自定义标头

Question

很难设置自定义标头以防止 Amplify 应用程序上的跨端脚本编写。

这是配置：

customHeaders:
  - pattern: '**/*'
    headers:
      - key: Strict-Transport-Security
        value: max-age=31536000; includeSubDomains
      - key: X-Frame-Options
        value: deny
      - key: X-XSS-Protection
        value: 1; mode=block
      - key: X-Content-Type-Options
        value: nosniff
      - key: Content-Security-Policy
        value: frame-ancestors 'none'

像这样在 iframe 中加载站点时：

<html>
<head></head>
<body>
<h1>IFRAME blocked</h1>

<iframe width=100% height=100% src="https://foo.bar/"></iframe>

</body>
</html>

那么iFrame就被成功屏蔽了。

但是当像这样加载 iframe 时：

<html>
<head></head>
<body>
<h1>IFRAME Not blocked</h1>

<iframe width=100% height=100% src="https://foo.bar/login"></iframe>

</body>
</html>

然后 iFrame 正在渲染页面。

任何想法如何扩展自定义 header 配置以还包括 url 的任何其他“路径”？

Answer 1

请试试这个X-Frame-Options: ALLOW-FROM URL

细节

X-Frame-Options: DENY 完全拒绝在frame/iframe中加载。
X-Frame-Options: SAMEORIGIN 仅当要加载的站点具有相同来源时才允许。
X-Frame-Options: ALLOW-FROM URL 它允许特定的 URL 在 iframe 中加载自己。但是请注意，并非所有浏览器都支持此功能。

AWS 中缺少配置放大自定义标头

问题描述

1 个解决方案

解决方案1
0 2022-03-11 19:49:42

AWS 中缺少配置放大自定义标头

问题描述

1 个解决方案

解决方案1 0 2022-03-11 19:49:42

解决方案1
0 2022-03-11 19:49:42