Bagaimana cara menonaktifkan header respons 'X-Frame-Options' di Spring Security?

Saya memiliki CKeditor di jsp saya dan setiap kali saya mengunggah sesuatu, kesalahan berikut muncul:

 Refused to display 'http://localhost:8080/xxx/xxx/upload-image?CKEditor=text&CKEditorFuncNum=1&langCode=ru' in a frame because it set 'X-Frame-Options' to 'DENY'.

Saya telah mencoba menghapus Keamanan Musim Semi dan semuanya bekerja seperti pesona. Bagaimana saya bisa menonaktifkan ini di file xml keamanan musim semi? Apa yang harus saya tulis di antara <http>tag

Secara default X-Frame-Optionsdiatur ke ditolak, untuk mencegah serangan clickjacking . Untuk mengesampingkan ini, Anda dapat menambahkan berikut ini ke dalam konfigurasi keamanan pegas Anda

<http>    
    <headers>
        <frame-options policy="SAMEORIGIN"/>
    </headers>
</http>

Berikut adalah opsi yang tersedia untuk kebijakan

• TOLAK - adalah nilai default. Dengan ini, halaman tidak dapat ditampilkan dalam bingkai, terlepas dari situs yang mencoba melakukannya.
• SAMEORIGIN - Saya menganggap ini yang Anda cari, sehingga halaman akan (dan dapat) ditampilkan dalam bingkai dengan asal yang sama seperti halaman itu sendiri
• ALLOW-FROM - Memungkinkan Anda untuk menentukan asal, di mana halaman dapat ditampilkan dalam bingkai.

Untuk informasi lebih lanjut lihat di sini .

Dan di sini untuk memeriksa bagaimana Anda dapat mengkonfigurasi tajuk menggunakan konfigurasi XML atau Java.

Perhatikan, bahwa Anda mungkin juga perlu menentukan yang sesuai strategy, berdasarkan kebutuhan.

Jika Anda menggunakan konfigurasi Java dan bukan konfigurasi XML, masukkan ini ke dalam WebSecurityConfigurerAdapter.configure(HttpSecurity http)metode Anda :

http.headers().frameOptions().disable();

Kemungkinan besar Anda tidak ingin menonaktifkan Header ini sepenuhnya, tetapi gunakan SAMEORIGIN. Jika Anda menggunakan Java Configs ( Spring Boot) dan ingin mengizinkan X-Frame-Options : SAMEORIGIN, maka Anda perlu menggunakan yang berikut ini.

Untuk versi Spring Security yang lebih lama:

http
   .headers()
       .addHeaderWriter(new XFrameOptionsHeaderWriter(XFrameOptionsHeaderWriter.XFrameOptionsMode.SAMEORIGIN))

Untuk versi yang lebih baru seperti Spring Security 4.0.2 :

http
   .headers()
      .frameOptions()
         .sameOrigin();

Jika menggunakan konfigurasi XML Anda bisa menggunakan

<beans xmlns="http://www.springframework.org/schema/beans" 
       xmlns:security="http://www.springframework.org/schema/security"> 
<security:http>
    <security:headers>
         <security:frame-options disabled="true"></security:frame-options>
    </security:headers>
</security:http>
</beans>

Jika Anda menggunakan konfigurasi Java Spring Security, semua header keamanan default ditambahkan secara default. Mereka dapat dinonaktifkan menggunakan konfigurasi Java di bawah ini:

@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends
   WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .headers().disable()
      ...;
  }
}

Jika Anda menggunakan Spring Boot, cara termudah untuk menonaktifkan header default Spring Security adalah dengan menggunakan security.headers.*properti. Khususnya, jika Anda ingin menonaktifkan X-Frame-Optionsheader default, cukup tambahkan berikut ini ke application.properties:

security.headers.frame=false

Ada juga security.headers.cache, security.headers.content-type, security.headers.hstsdan security.headers.xsssifat-sifat yang dapat Anda gunakan. Untuk informasi lebih lanjut, lihat SecurityProperties.