So überschreiben Sie X-Frame-Optionen für einen Controller oder eine Aktion in Rails 4

Question

Rails 4 scheint einen Standardwert von SAMEORIGIN für den HTTP-Antwortheaderfestzulegen. Dies ist groß für Sicherheit, aber es nicht für Teile Ihrer App in einer iframe auf einer anderen Domäne verfügbar sein.

Sie können den Wert von X-Frame-Options global überschreiben die config.action_dispatch.default_headers Einstellung mit:

config.action_dispatch.default_headers['X-Frame-Options'] = "ALLOW-FROM https://apps.facebook.com" 

Aber, wie Sie es für nur einen einzigen Controller oder Aktion kann außer Kraft setzen?

class FilesController < ApplicationController 
    after_action :allow_iframe, only: :embed 

    def embed 
    end 

private 

    def allow_iframe 
    response.headers.except! 'X-Frame-Options' 
    end 
end 

Oder natürlich, können Sie die after_action unterschiedliche den Wert auf etwas einstellen kann Code:

Answer 1

Wenn Sie den Header vollständig entfernen möchten, können Sie einen after_action Filter erstellen

class FacebookController < ApplicationController 
    after_action :allow_facebook_iframe 

private 

    def allow_facebook_iframe 
    response.headers['X-Frame-Options'] = 'ALLOW-FROM https://apps.facebook.com' 
    end 
end 

Beachten Sie, dass Sie Ihren Cache in bestimmten Browsern (Chrome für mich) löschen müssen, während Sie dies debuggen.