Come sostituire le opzioni X-Frame per un controller o un'azione in Rails 4

Question 1

Rails 4 sembra impostare un valore predefinito SAMEORIGINper l' X-Frame-Optionsintestazione della risposta HTTP. Questo è ottimo per la sicurezza, ma non consente la disponibilità di parti della tua app in un iframedominio diverso.

Puoi sovrascrivere il valore di X-Frame-Optionsglobalmente utilizzando l' config.action_dispatch.default_headersimpostazione:

config.action_dispatch.default_headers['X-Frame-Options'] = "ALLOW-FROM https://apps.facebook.com"

Ma come sovrascriverlo per un solo controller o azione?

Question 2

Se desideri rimuovere completamente l'intestazione, puoi creare un after_actionfiltro:

class FilesController < ApplicationController
  after_action :allow_iframe, only: :embed

  def embed
  end

private

  def allow_iframe
    response.headers.except! 'X-Frame-Options'
  end
end

Oppure, ovviamente, puoi codificare after_actionper impostare il valore su qualcosa di diverso:

class FacebookController < ApplicationController
  after_action :allow_facebook_iframe

private

  def allow_facebook_iframe
    response.headers['X-Frame-Options'] = 'ALLOW-FROM https://apps.facebook.com'
  end
end

Tieni presente che devi svuotare la cache in alcuni browser (Chrome per me) durante il debug.

Question 3

Volevo solo includere una risposta aggiornata qui per chiunque trovi questo collegamento quando cerca di capire come consentire alla tua app Rails di essere incorporata in un I-Frame e incorrere in problemi.

Al momento della stesura di questo, 28 maggio 2020, le modifiche alle opzioni X-Frame probabilmente non sono la soluzione migliore al tuo problema. L'opzione "ALLOW-FROM" è stata totalmente disabilitata da tutti i principali browser.

La soluzione moderna consiste nell'implementare una politica di sicurezza dei contenuti e impostare una politica "frame_ancestors". La chiave "frame_ancestors" indica quali domini possono incorporare la tua app come iframe. È attualmente supportato dai principali browser e sovrascrive le opzioni X-Frame. Ciò ti consentirà di prevenire il clickjacking (che X-Frame-Options era originariamente previsto per aiutare prima che diventasse in gran parte deprecato) e di bloccare la tua app in un ambiente moderno.

Puoi impostare una Content-Security-Policy con Rails 5.2 in un inizializzatore (esempio sotto) e per Rails <5.2 puoi usare un gem come Secure Headers gem: https://github.com/github/secure_headers

Se lo desideri, puoi anche sovrascrivere le specifiche dei criteri in base al controller / azione.

I criteri di sicurezza dei contenuti sono ottimi per protezioni di sicurezza avanzate. Controlla tutte le cose che puoi configurare nella documentazione di Rails: https://edgeguides.rubyonrails.org/security.html

Un esempio di Rails 5.2 per una Content-Security-Policy:

# config/initializers/content_security_policy.rb    
    Rails.application.config.content_security_policy do |policy|
      policy.frame_ancestors :self, 'some_website_that_embeds_your_app.com'
    end

Un esempio di una modifica specifica del controller a una politica:

# Override policy inline
class PostsController < ApplicationController
  content_security_policy do |p|
    p.frame_ancestors :self, 'some_other_website_that_can_embed_posts.com'
  end
end

Question 4

Per Rails 5+, usa response.set_header('X-Frame-Options', 'ALLOW-FROM https://apps.facebook.com')invece. Oppure, se ALLOW-FROMnon funziona e hai bisogno di una soluzione rapida, puoi impostarla suALLOWALL