Inhalt Sicherheitsrichtlinie Frame-Vorfahren. Iframe wont Belastung Inhalt in iOS10

Question

Unsere Cordova App wird nicht iframe Inhalte auf iOS 10.

Wir haben laden einige iframes Anzeigen bestimmter Informationen von unseren Web-Seiten innerhalb der App, wir müssen also nicht duplizieren.

Das funktioniert in jeder der folgenden iOS-Versionen. Aber seit dem Update auf unseren Geräten weigert sich die App, die Ressourcen zu laden.

Refused to load http://.../.../X.html because it does not appear in the frame-ancestors directive of the Content Security Policy 

habe ich versucht, meinen Meta-Content-Security-Politik-Tag bearbeiten von dieser Ressource zu ermöglichen, aber das hat nicht funktioniert. Ich denke, dieses Problem betrifft den Webserver, der meiner App/meinem Browser sagt, diese Herkunft nicht zuzulassen, aber ich bin leider nicht tief in diesem Thema. Was ich weiß, ist, dass der Webserver die X-Frame-Optionen auf SAMEORIGIN setzt, aber das sollte sie auch für die anderen iOS-Versionen deaktivieren.

Also wie kann ich in diesem Fall die Sicherheitskonfigurationen umgehen, so ist es funktioniert genau wie in der früheren Version von iOS?

Bitte sagen Sie mir, wenn Sie weitere Informationen benötigen, kann ich nicht sagen, ob ich etwas verpasst habe.

Answer 1

Ich weiß, dass der Webserver die X-Frame-Optionen auf SAMEORIGIN setzt, aber das sollte sie auch für die anderen iOS-Versionen deaktivieren.

Neben dem bestehenden Kopf:

X-Frame-Options: SAMEORIGIN 

In seinen Inhalt Sicherheitspolitik gleichwertig:

Content-Security-Policy: frame-ancestors 'self' 

Beachten Sie die folgenden Einschränkungen zu beachten:

Ein Wort über Unterstützung. Noch nicht in allen Browsern unterstützt, unterstützt Chrome 40+ und FF 35+, wird aber auch standardmäßig auf X-Frame-Optionen gesetzt. Spec sagt, CSP sollte Vorrang haben. Dies funktioniert nicht, wenn sich CSP in einem <meta>-Tag befindet, und funktioniert nicht, wenn Sie Content-Security-Policy-Report-Only verwenden.

Referenzen

• Content Security Policy Cheat Sheet - OWASP