Rails 4のコントローラーまたはアクションのX-Frame-Optionsをオーバーライドする方法

Question

X-Frame-Options HTTP応答ヘッダーのデフォルト値はSAMEORIGINです。これはセキュリティのためにgreatですが、アプリの一部が別のドメインのiframeで利用できるようにすることはできません。

config.action_dispatch.default_headers['X-Frame-Options'] = "ALLOW-FROM https://apps.facebook.com" 

をしかし、どのように1つだけのコントローラやアクションのためにそれを上書きします：

あなたはグローバルconfig.action_dispatch.default_headers設定を使用してX-Frame-Optionsの値を上書きすることができますか？

Answer 1

あなたは完全に、ヘッダを削除したい場合は、あなたがafter_actionフィルタを作成することができます

class FilesController < ApplicationController 
    after_action :allow_iframe, only: :embed 

    def embed 
    end 

private 

    def allow_iframe 
    response.headers.except! 'X-Frame-Options' 
    end 
end 

あるいは、もちろん、あなたが別の何かに値を設定するafter_actionをコーディングすることができます

class FacebookController < ApplicationController 
    after_action :allow_facebook_iframe 

private 

    def allow_facebook_iframe 
    response.headers['X-Frame-Options'] = 'ALLOW-FROM https://apps.facebook.com' 
    end 
end 

を

これをデバッグする際に、特定のブラウザ（Chrome for me）でキャッシュをクリアする必要があることに注意してください。