Microsoft Dynamics CRM仪表板无法通过React应用嵌入网站iframe的技术求助

我来帮你搞定这个嵌入失败的问题！你看到的"This content cannot be displayed in a frame."提示，本质是Dynamics CRM On Premises默认启用了点击劫持防护机制，通过设置X-Frame-Options响应头来阻止页面被嵌入到iframe中。下面是具体的解决步骤：

1. 调整CRM服务器的X-Frame-Options响应头 #

这是最核心的解决办法，需要在承载CRM的IIS服务器上进行配置：

• 通过IIS管理器操作：
  1. 打开IIS管理器，找到你的CRM站点
  2. 双击「HTTP响应头」功能
  3. 如果已经存在X-Frame-Options条目，编辑它的值；如果没有，点击「添加」创建新条目
  4. 如果你只想允许自己的个人网站嵌入，设置值为 ALLOW-FROM https://your-personal-site.com（替换成你的网站域名）；如果需要临时测试或信任多个来源，也可以用 ALLOWALL（注意：ALLOWALL会降低安全性，生产环境不推荐）
• 通过web.config修改：
  在CRM站点的根目录下找到web.config文件，添加或修改如下配置段：

  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <!-- 替换为你的网站域名 -->
        <add name="X-Frame-Options" value="ALLOW-FROM https://your-personal-site.com" />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
  

2. 检查CRM系统的安全设置 #

除了IIS的配置，CRM自身也可能有嵌入限制：

• 登录CRM管理员账号，进入「设置」→「管理」→「系统设置」
• 切换到「安全」标签页，查找与iframe嵌入相关的选项（比如“允许在iframe中显示CRM内容”之类的设置），确保已经开启并添加了你的网站域名到信任列表

3. 优化iframe的sandbox属性 #

你当前的sandbox属性包含了allow-same-origin，如果你的个人网站和CRM服务器不同源，这个属性可能会导致权限冲突。建议调整为：

<iframe src="http://prodCRM" sandbox="allow-scripts allow-forms allow-popups allow-pointer-lock allow-top-navigation" width="100%" height="100%" ></iframe>

去掉allow-same-origin后，iframe会以独立的源加载，避免和CRM的安全策略冲突。

重要安全提醒 #

修改X-Frame-Options会降低点击劫持防护的安全性，所以一定要仅允许信任的域名，不要在生产环境随意使用ALLOWALL。

内容的提问来源于stack exchange，提问作者Priyanga Manivelan