Ein ungültiger Antwortheader wird vom Embed-Controller gesetzt

hjr265 · 14. März 2021 um 02:55

app/controllers/embed_controller.rb

53ab3dda5


      
              @setup_url = "#{Discourse.base_url}/admin/customize/embedding"
              @show_reason = true
              @hosts = EmbeddableHost.all
            end
            render 'embed_error', status: 400
          end
          
          def topics
            discourse_expires_in 1.minute
          
            response.headers['X-Frame-Options'] = "ALLOWALL"
            unless SiteSetting.embed_topics_list?
              render 'embed_topics_error', status: 400
              return
            end
          
            if @embed_id = params[:discourse_embed_id]
              raise Discourse::InvalidParameters.new(:embed_id) unless @embed_id =~ /^de\-[a-zA-Z0-9]+$/
            end
          
            if params.has_key?(:template) && params[:template] == "complete"

MDN listet „ALLOWALL

Falco · 14. März 2021 um 15:52

Ich habe diesen Fehler beim Arbeiten am Embed in unserem neuen Blog bemerkt. Der einfachste Weg ist es doch, diesen Header einfach zu entfernen, oder?

hjr265 · 15. März 2021 um 12:58

Ich denke schon, ja. Ich gehe davon aus, dass du das Entfernen aus Discourse meintest (im Gegensatz zum Ausblenden mittels einer Nginx-Konfiguration). Der Header selbst gilt ohnehin mittlerweile als veraltet. Es gibt weitere Vorkommen desselben Headers in dieser Datei.

Hinweis: Der HTTP-Header Content-Security-Policy verfügt über eine Direktive frame-ancestors, die diesen Header für unterstützende Browser obsolet macht.

Falco · 23. März 2021 um 00:17

Das ist jetzt behoben:

Thema		Antworten	Aufrufe
Browser prevents Discourse from rendering in iframe despite proper configuration (`X-Frame-Options: SAMEORIGIN`) Bug embedding	0	120	12. November 2024
Embedded comments not displayed due to X-Frame-Options DENY Support	12	3353	8. Juni 2024
Embedding error Support	13	4028	21. November 2020
Refused to display in a frame because it set 'X-Frame-Options' to 'sameorigin' Support	7	46174	8. Juni 2024
CSP Frame Ancestors enabled by default Announcements	4	1704	20. Dezember 2023

Ein ungültiger Antwortheader wird vom Embed-Controller gesetzt

Verwandte Themen