WordPress多站点跨子域iframe嵌入X-Frame-Options问题求助

兄弟，我帮你捋捋这个问题——你遇到的X-Frame-Options错误，核心原因不是前端document.domain没设置对，而是WordPress wp-admin默认的安全拦截在搞事情，咱们一步步解决：

1. 先搞定服务器端的X-Frame-Options限制 #

WordPress的后台页面（wp-admin）默认会发送X-Frame-Options: SAMEORIGIN的响应头，这个是服务器端强制设置的，前端改document.domain根本绕不开它。你得让子域站点允许主域来嵌入它的后台页面。

可以在子域站点的functions.php（或者全局多站点的功能插件里）添加这段代码，专门针对主域的仪表盘开放嵌入权限：

function allow_main_domain_framing() {
    // 只在wp-admin页面生效，并且只允许主域的仪表盘嵌入
    if ( is_admin() && isset($_SERVER['HTTP_REFERER']) && strpos($_SERVER['HTTP_REFERER'], 'https://foo.com/wp-admin/network/') !== false ) {
        // 移除默认的SAMEORIGIN头
        header_remove('X-Frame-Options');
        // 允许主域嵌入（部分旧浏览器支持）
        header('X-Frame-Options: ALLOW-FROM https://foo.com');
        // 更通用的Content-Security-Policy设置（现代浏览器优先支持）
        header("Content-Security-Policy: frame-ancestors 'self' https://foo.com;");
    }
}
add_action('send_headers', 'allow_main_domain_framing');

这段代码的作用是：只有当请求来自主域的网络仪表盘时，才修改响应头，允许它嵌入子域的后台页面，既解决问题又不降低其他场景的安全性。

2. 同步设置主域和子域的document.domain #

你之前只在主域后台加了document.domain的脚本，但子域的wp-admin页面也需要设置！因为跨子域的iframe通信（或者权限验证）需要双方的document.domain一致。

在子域站点的functions.php里添加这段代码，在后台页脚注入脚本：

function set_subdomain_document_domain() {
    if ( is_admin() ) {
        echo '<script>document.domain = "foo.com";</script>';
    }
}
add_action('admin_footer', 'set_subdomain_document_domain');

主域那边你已经加了，不用额外在jQuery里触发——只要这段脚本在iframe加载前执行就行，你之前的页脚注入位置是对的。

3. 额外要检查的坑 #

• 安全插件拦截：像Wordfence、iThemes Security这类安全插件，可能会强制覆盖X-Frame-Options设置，你得去插件的安全配置里找“点击劫持保护”之类的选项，把主域加入白名单。
• 浏览器缓存：测试前一定要清浏览器缓存，因为响应头可能被缓存了，导致新设置不生效。
• HTTPS一致性：确保主域和子域都是HTTPS，混合HTTP/HTTPS的iframe也会触发跨域问题。

做完这些，子域的iframe应该就能正常加载了。

内容的提问来源于stack exchange，提问作者Dan382