Jak wyłączyć nagłówek odpowiedzi „X-Frame-Options” w Spring Security?

Mam CKeditor na swoim jsp i za każdym razem, gdy coś przesyłam, wyskakuje następujący błąd:

 Refused to display 'http://localhost:8080/xxx/xxx/upload-image?CKEditor=text&CKEditorFuncNum=1&langCode=ru' in a frame because it set 'X-Frame-Options' to 'DENY'.

Próbowałem usunąć Spring Security i wszystko działa jak urok. Jak mogę to wyłączyć w wiosennym pliku XML bezpieczeństwa? Co mam napisać między <http>tagami

Domyślnie X-Frame-Optionsjest to zabronione, aby zapobiec atakom typu clickjacking . Aby to zmienić, możesz dodać następujące elementy do konfiguracji zabezpieczeń Spring

<http>    
    <headers>
        <frame-options policy="SAMEORIGIN"/>
    </headers>
</http>

Oto dostępne opcje polityki

• DENY - to wartość domyślna. Dzięki temu strona nie może zostać wyświetlona w ramce, niezależnie od tego, czy witryna próbuje to zrobić.
• SAMEORIGIN - zakładam, że tego właśnie szukasz, aby strona była (i może być) wyświetlana w ramce z tego samego źródła co sama strona
• ZEZWÓL-OD - umożliwia określenie źródła, w którym strona może być wyświetlana w ramce.

Więcej informacji znajdziesz tutaj .

A tutaj, aby sprawdzić, jak możesz skonfigurować nagłówki za pomocą konfiguracji XML lub Java.

Pamiętaj, że może być konieczne określenie odpowiedniego strategy, w zależności od potrzeb.

Jeśli używasz konfiguracji Java zamiast konfiguracji XML, umieść to w swojej WebSecurityConfigurerAdapter.configure(HttpSecurity http)metodzie:

http.headers().frameOptions().disable();

Najprawdopodobniej nie chcesz całkowicie dezaktywować tego nagłówka, ale użyj SAMEORIGIN. Jeśli korzystasz z Java Configs ( Spring Boot) i chcesz zezwolić na X-Frame-Options :, SAMEORIGINmusisz użyć poniższego.

W przypadku starszych wersji Spring Security:

http
   .headers()
       .addHeaderWriter(new XFrameOptionsHeaderWriter(XFrameOptionsHeaderWriter.XFrameOptionsMode.SAMEORIGIN))

W przypadku nowszych wersji, takich jak Spring Security 4.0.2 :

http
   .headers()
      .frameOptions()
         .sameOrigin();

Jeśli używasz konfiguracji XML, możesz użyć

<beans xmlns="http://www.springframework.org/schema/beans" 
       xmlns:security="http://www.springframework.org/schema/security"> 
<security:http>
    <security:headers>
         <security:frame-options disabled="true"></security:frame-options>
    </security:headers>
</security:http>
</beans>

Jeśli używasz konfiguracji Java Spring Security, wszystkie domyślne nagłówki zabezpieczeń są dodawane domyślnie. Można je wyłączyć za pomocą poniższej konfiguracji Java:

@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends
   WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .headers().disable()
      ...;
  }
}

Jeśli używasz Spring Boot, najprostszym sposobem wyłączenia domyślnych nagłówków Spring Security jest użycie security.headers.*właściwości. W szczególności, jeśli chcesz wyłączyć X-Frame-Optionsdomyślny nagłówek, po prostu dodaj następujące informacje do application.properties:

security.headers.frame=false

Jest też security.headers.cache, security.headers.content-type, security.headers.hstsi security.headers.xsswłaściwości, które można wykorzystać. Aby uzyskać więcej informacji, zobacz SecurityProperties.