security - x-frame-options 的重复值

Question

我在我的网站页面上设置 x-frame-options 但由于一些嵌套逻辑，在某些页面上我看到重复的值，例如：

X-FRAME-OPTIONS:SAMEORIGIN,SAMEORIGIN

代替：

X-FRAME-OPTIONS:SAMEORIGIN

是否可以将重复的值分配给 X-FRAME-OPTIONS，它会选择分配的第一个值并忽略其余的值吗？

谢谢你。

Answer 1

这在大多数现代浏览器上应该没问题。显然，存在一个问题，即标头中的重复值X-FRAME-OPTIONS会导致标头被完全忽略，但这已在 Firefox > 14 中得到修复。我想这个问题，如果它曾经存在过的话，也是类似的在 Chrome 和 Edge 中也已修复。

Answer 2

我正在研究同样的事情，因为我们添加了 X-FRAME-OPTIONS，但它也由 Html.AntiForgeryToken() 添加。

我还没有找到重复的结论性答案，尽管看起来如果它们相同，这不是问题。但是，如果存在冲突的多个条目，则问题仍然存在，因为它们可能是互斥的。我确实找到了适合我的解决方案，特别是 SuppressXFrameOptionsHeadersAttribute。