Jak przesłonić opcje X-Frame dla kontrolera lub akcji w Railsach 4

Question

Rails 4 wydaje się ustawić domyślną wartość SAMEORIGIN dla nagłówka odpowiedzi HTTP X-Frame-Options. To jest świetne ze względów bezpieczeństwa, ale nie pozwala na to, aby części aplikacji były dostępne w domenie iframe w innej domenie.

Można zastąpić wartość X-Frame-Options globalnie przy użyciu ustawienia config.action_dispatch.default_headers:

config.action_dispatch.default_headers['X-Frame-Options'] = "ALLOW-FROM https://apps.facebook.com" 

Ale w jaki sposób zastąpić go tylko dla pojedynczego kontrolera lub akcji?

Answer 1

Jeśli chcesz usunąć nagłówek całkowicie, można utworzyć after_action filtr:

class FilesController < ApplicationController 
    after_action :allow_iframe, only: :embed 

    def embed 
    end 

private 

    def allow_iframe 
    response.headers.except! 'X-Frame-Options' 
    end 
end 

Albo, oczywiście, można kodować after_action aby ustawić wartość na coś innego:

class FacebookController < ApplicationController 
    after_action :allow_facebook_iframe 

private 

    def allow_facebook_iframe 
    response.headers['X-Frame-Options'] = 'ALLOW-FROM https://apps.facebook.com' 
    end 
end 

Pamiętaj, że musisz wyczyścić pamięć podręczną w niektórych przeglądarkach (Chrome dla mnie) podczas debugowania tego.