Überschreiben der IIS-Antwortheader

Question

Da ich mehrere Websites auf derselben IIS-Instanz hostet, habe ich in den IIS-Einstellungen den HTTP-Antwortheader "X-Frame-Optionen: DENY" definiert, um meine Clients (und deren Clients) vor Clickjacking zu schützen .

Ich arbeite derzeit mit WebForms auf einer E-Commerce-Website und ich muss den Antwort-Header 'X-Frame-Optionen' auf einer bestimmten URL (der Rückruf meines Zahlungsanbieters) entfernen.

Ich habe ein HTTP-Modul geschrieben (siehe Code unten) und registriert es in der 'web.config' meiner E-Commerce-Website, der Code funktioniert, aber es scheint, dass IIS die Antwortheader nach der Ausführung von meinem hinzufügt HttpModul.

public class XFrameOptionsControl : IHttpModule 
{ 
    public void Dispose() 
    { 
    } 

    public void Init(HttpApplication application) 
    { 
    application.PreSendRequestHeaders += new EventHandler(PreSendRequestHeaders); 
    } 

    private void PreSendRequestHeaders(object sender, EventArgs e) 
    { 
    HttpApplication application = sender as HttpApplication; 
    HttpContext context = application.Context; 

    string callbackDocumentName = "callback.html"; 

    if (callbackDocumentName != null) 
    { 
     if (!context.Request.RawUrl.ToLower().Contains(callbackDocumentName.ToLower())) 
     { 
     context.Response.Headers.Remove("X-Frame-Options"); 
     } 
    } 
    } 
} 

Normalerweise ist die ‚callbackDocumentName‘ aus der ‚web.config‘ abgerufen, aber ich habe es für das Beispiel zu vereinfachen. Ich habe versucht, das Debuggen mit Visual Studio und dem 'context.Response.Headers' enthält die folgenden Überschriften, aber nicht die 'X-Frame-Options':

• Cachecontrol
• Content-Type
• Server
• X-AspNet-Version

Vielen Dank im Voraus!

Answer 1

Wenn Sie die Antwort ändern möchten, müssen Sie dies tun, nachdem die Antwort generiert wurde.

momentan du es getan hast, noch bevor die Anfrage an die Anwendung

versuchen, diese

 public void Init(HttpApplication context) 
     { 
      context.PostRequestHandlerExecute += new EventHandler(this.ProcessResponse); 
     } 

     private void ProcessResponse(object sender, EventArgs e) 
     { 
      HttpContext context = ((HttpApplication)sender).Context; 
      //do whatever you want to the context 
      //context.Response.Headers.Remove 
      } 
     }