Laravel 11中如何覆盖X-Frame-Options解决跨域iframe嵌入问题

问题根源 #

Laravel 11默认会通过内置安全中间件添加X-Frame-Options: SAMEORIGIN头，你的自定义中间件虽然尝试移除并设置新值，但可能由于执行顺序问题，框架在响应发送前会重新添加默认头，导致两个冲突的头共存。

另外需要注意：X-Frame-Options的ALLOW-FROM *是无效语法——该指令不支持通配符，且现代主流浏览器已逐步废弃ALLOW-FROM，更推荐使用Content-Security-Policy的frame-ancestors指令实现跨域iframe嵌入控制。

可行解决方案 #

方案一：修改Laravel安全配置文件（无需自定义中间件） #

1. 若项目中没有config/security.php文件，先执行命令生成：

php artisan vendor:publish --tag=laravel-security

2. 打开config/security.php，找到headers配置段：
   • 注释或删除默认的x-frame-options配置，或设置为null，避免框架自动添加头：

     // 'x-frame-options' => 'SAMEORIGIN',
     'x-frame-options' => null,
     

   • 添加Content-Security-Policy配置，允许指定域名或所有域名嵌入：

     'content-security-policy' => 'frame-ancestors *;', // 允许所有域名
     // 或指定单个/多个域名：
     // 'content-security-policy' => 'frame-ancestors https://example.com https://another-domain.com;',
     

方案二：通过自定义中间件覆盖头（确保执行顺序） #

如果必须使用自定义中间件，需确保它在所有框架安全中间件之后执行：

1. 调整中间件代码，移除默认头并设置CSP（替代X-Frame-Options）：

public function handle(Request $request, Closure $next): Response
{
    $response = $next($request);
    
    // 移除框架默认添加的X-Frame-Options
    $response->headers->remove('X-Frame-Options');
    
    // 设置Content-Security-Policy允许iframe嵌入
    $response->headers->set('Content-Security-Policy', 'frame-ancestors *;');
    
    return $response;
}

2. 在bootstrap/app.php中注册中间件时使用append方法，确保它最后执行：

return Application::configure(basePath: dirname(__DIR__))
    ->withRouting(
        web: __DIR__.'/../routes/web.php',
        api: __DIR__.'/../routes/api.php',
        commands: __DIR__.'/../routes/console.php',
        health: '/up',
    )
    ->withMiddleware(function (Middleware $middleware) {
        // 用append确保中间件最后执行
        $middleware->append(\App\Http\Middleware\AllowIframeEmbedding::class);
    })
    ->create();

方案三：仅修改X-Frame-Options（不推荐，兼容性差） #

如果坚持使用X-Frame-Options，需确保彻底覆盖默认值：

1. 在config/security.php中直接修改x-frame-options的值：

'x-frame-options' => 'ALLOW-FROM https://your-target-domain.com',

注意：该方式仅支持单个指定域名，不支持通配符，且仅在部分旧浏览器中生效。

内容的提问来源于stack exchange，提问作者MrDucky