如何合法嵌入受X-Frame-Options限制的Google Script网页应用？

你遇到的是Google Apps Script Web App默认的安全限制——Google为防止点击劫持，给Web App设置了X-Frame-Options: sameorigin响应头，禁止跨域iframe嵌入。以下是几种合法的解决方式：

• 通过Google Sites作为中转层
  这是最简便的官方方案：

  1. 创建一个新的Google Sites页面，点击编辑器中的「插入」→「嵌入」→「嵌入网址」。
  2. 填入你的Google Script Web App的部署URL（确保Web App已设置为「任何人，甚至匿名用户」可访问），完成嵌入配置。
  3. 发布Google Sites页面后，获取页面的嵌入代码（点击页面右上角的「发布」→「嵌入此站点」），将这段代码放到客户域名的页面中即可。Google Sites本身允许被跨域iframe嵌入，以此绕开Web App的限制。

• 迁移功能到Google Sheets/Forms嵌入（如果适用）
  如果你的Web App功能是基于数据收集、表格展示等场景，可以直接使用Google Sheets或Google Forms的官方嵌入功能：

  • 打开对应的Google Sheets/Forms，点击「文件」→「发布到网络」，选择嵌入选项，生成嵌入代码后直接放到客户的iframe中即可。这类服务默认支持跨域嵌入，无需额外配置。

• 自建代理服务（需服务器支持）
  如果以上方案不适用，可以在客户的服务器上搭建一个简单的代理：

  1. 编写一个后端接口，请求你的Google Script Web App内容，并在响应中移除或修改X-Frame-Options头。
  2. 在客户的iframe中嵌入这个代理接口的URL，而非直接嵌入Web App的地址。
     注意：这种方式需要确保代理服务的合法性，且要处理好跨域请求和缓存问题，避免触发Google的访问限制。

内容的提问来源于stack exchange，提问作者NDi