Rails4のコントローラーまたはアクションのX-Frame-Optionsをオーバーライドする方法

Rails 4SAMEORIGINは、X-Frame-OptionsHTTP応答ヘッダーのデフォルト値をに設定しているようです。これはセキュリティには最適ですが、アプリの一部をiframe別のドメインで利用できるようにすることはできません。

次X-Frame-Optionsのconfig.action_dispatch.default_headers設定を使用して、の値をグローバルにオーバーライドできます。

config.action_dispatch.default_headers['X-Frame-Options'] = "ALLOW-FROM https://apps.facebook.com"

しかし、単一のコントローラーまたはアクションに対してどのようにオーバーライドしますか？

ヘッダーを完全に削除したい場合は、after_actionフィルターを作成できます。

class FilesController < ApplicationController
  after_action :allow_iframe, only: :embed

  def embed
  end

private

  def allow_iframe
    response.headers.except! 'X-Frame-Options'
  end
end

または、もちろん、after_action値を別の値に設定するようにコーディングすることもできます。

class FacebookController < ApplicationController
  after_action :allow_facebook_iframe

private

  def allow_facebook_iframe
    response.headers['X-Frame-Options'] = 'ALLOW-FROM https://apps.facebook.com'
  end
end

これをデバッグしている間、特定のブラウザ（私にとってはChrome）でキャッシュをクリアする必要があることに注意してください。

RailsアプリをI-Frameに埋め込んで問題が発生するのを許可する方法を見つけようとしたときに、このリンクを見つけた人のために、ここに更新された回答を含めたかっただけです。

これを書いている時点で、2020年5月28日、X-Frame-Optionsの変更は、おそらく問題に対する最善の解決策ではありません。「ALLOW-FROM」オプションは、すべての主要なブラウザで完全に禁止されています。

最新のソリューションは、Content-Security-Policyを実装し、「frame_ancestors」ポリシーを設定することです。'frame_ancestors'キーは、アプリをiframeとして埋め込むことができるドメインを指定します。現在、主要なブラウザでサポートされており、X-Frame-Optionsを上書きします。これにより、クリックジャッキング（X-Frame-Optionsが大幅に非推奨になる前に支援することを目的としていた）を防ぎ、最新の環境でアプリをロックダウンすることができます。

初期化子でRails5.2を使用してContent-Security-Policyを設定でき（以下の例）、Rails <5.2の場合は、Secure Headers gemのようなgemを使用できます：https：//github.com/github/secure_headers

必要に応じて、コントローラー/アクションベースでポリシー仕様をオーバーライドすることもできます。

コンテンツ-セキュリティ-ポリシーは、高度なセキュリティ保護に最適です。Railsのドキュメントで構成できるすべてのものを確認してください：https：//edgeguides.rubyonrails.org/security.html

Content-Security-PolicyのRails5.2の例：

# config/initializers/content_security_policy.rb    
    Rails.application.config.content_security_policy do |policy|
      policy.frame_ancestors :self, 'some_website_that_embeds_your_app.com'
    end

ポリシーに対するコントローラー固有の変更の例：

# Override policy inline
class PostsController < ApplicationController
  content_security_policy do |p|
    p.frame_ancestors :self, 'some_other_website_that_can_embed_posts.com'
  end
end

Rails 5以降の場合は、response.set_header('X-Frame-Options', 'ALLOW-FROM https://apps.facebook.com')代わりに使用してください。または、ALLOW-FROM機能せず、迅速な修正が必要な場合は、次のように設定できます。ALLOWALL