Spring Securityで「X-Frame-Options」応答ヘッダーを無効にする方法は？

jspにCKeditorがあり、何かをアップロードするたびに、次のエラーが表示されます。

 Refused to display 'http://localhost:8080/xxx/xxx/upload-image?CKEditor=text&CKEditorFuncNum=1&langCode=ru' in a frame because it set 'X-Frame-Options' to 'DENY'.

Spring Securityを削除してみましたが、すべてが魅力のように機能します。Spring Security xmlファイルでこれを無効にするにはどうすればよいですか？<http>タグの間に何を書くべきですか

クリックジャッキング攻撃X-Frame-Optionsを防ぐために、デフォルトでは拒否に設定されています。これをオーバーライドするには、Springセキュリティ構成に以下を追加します

<http>    
    <headers>
        <frame-options policy="SAMEORIGIN"/>
    </headers>
</http>

ポリシーに利用できるオプションは次のとおりです

• DENY-はデフォルト値です。これにより、サイトが表示しようとしても、ページをフレームに表示することはできません。
• SAMEORIGIN-これがあなたが探しているものだと思います。そのため、ページはページ自体と同じ原点のフレームに表示されます（そして表示できます）。
• ALLOW-FROM-ページをフレームに表示できる原点を指定できます。

詳細については、こちらをご覧ください。

そして、ここでは、XMLまたはJava構成を使用してヘッダーを構成する方法を確認します。

必要に応じてstrategy、適切なを指定する必要がある場合もあることに注意してください。

XML構成の代わりにJava構成を使用している場合は、これをWebSecurityConfigurerAdapter.configure(HttpSecurity http)メソッドに入れます。

http.headers().frameOptions().disable();

ほとんどの場合、このヘッダーを完全に非アクティブ化する必要はありませんが、を使用してくださいSAMEORIGIN。Java Configs（Spring Boot）を使用していて、X-Frame-Options：を許可しSAMEORIGINたい場合は、以下を使用する必要があります。

古いSpringSecurityバージョンの場合：

http
   .headers()
       .addHeaderWriter(new XFrameOptionsHeaderWriter(XFrameOptionsHeaderWriter.XFrameOptionsMode.SAMEORIGIN))

Spring Security 4.0.2などの新しいバージョンの場合：

http
   .headers()
      .frameOptions()
         .sameOrigin();

XML構成を使用している場合は、

<beans xmlns="http://www.springframework.org/schema/beans" 
       xmlns:security="http://www.springframework.org/schema/security"> 
<security:http>
    <security:headers>
         <security:frame-options disabled="true"></security:frame-options>
    </security:headers>
</security:http>
</beans>

Spring SecurityのJava構成を使用している場合、デフォルトのセキュリティヘッダーはすべてデフォルトで追加されます。これらは、以下のJava構成を使用して無効にできます。

@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends
   WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .headers().disable()
      ...;
  }
}

Spring Bootを使用している場合、Spring Securityのデフォルトヘッダーを無効にする最も簡単な方法は、security.headers.*プロパティを使用することです。特に、X-Frame-Optionsデフォルトヘッダーを無効にする場合は、次を追加するだけですapplication.properties。

security.headers.frame=false

そこにもありsecurity.headers.cache、security.headers.content-type、security.headers.hstsそしてsecurity.headers.xssあなたが使用することができますプロパティ。詳細については、をご覧くださいSecurityProperties。