ASP.NET Core应用中如何移除视图的X-FRAME-OPTIONS响应头

云原生阿岚

2026-10-2

问题原因

你遇到的现象是ASP.NET Core自带的防伪（Antiforgery）机制的默认行为导致的：

当你在表单中使用asp-action、asp-for这类ASP.NET Core Tag Helper时，框架会自动为POST类型的表单注入防伪令牌，同时默认会给当前响应添加X-Frame-Options: SAMEORIGIN响应头，目的是防范点击劫持类攻击，这就是为什么只有带asp-*绑定属性的表单页面会出现这个头，未使用这类属性的旧页面不会触发该逻辑。

解决方案

方案1：仅针对指定页面/接口移除该响应头

如果你只需要让个别视图允许被iframe嵌入，可以直接在对应的Controller Action方法中处理响应头：

public IActionResult 你的视图对应的Action名()
{
    // 直接移除X-Frame-Options响应头
    Response.Headers.Remove("X-Frame-Options");
    // 如果需要指定允许嵌入的域名，可以换成下面的写法
    // Response.Headers.Append("X-Frame-Options", "ALLOW-FROM https://允许嵌入你的页面的域名.com");
    return View();
}

方案2：全局关闭防伪机制自动添加X-Frame-Options头的行为

如果你有多个页面都需要被iframe嵌入，可以在Program.cs（.NET 6+版本）中配置防伪服务，关闭自动加头的逻辑：

builder.Services.AddAntiforgery(options => 
{
    // 禁止防伪机制自动添加X-Frame-Options头
    options.SuppressXFrameOptionsHeader = true;
});

注意：使用该方案的话，你需要自己全局控制X-Frame-Options头的添加逻辑，避免所有页面都暴露点击劫持风险，建议配合安全中间件只给需要的页面设置允许跨源嵌入的头。

方案3：针对单个表单禁用防伪令牌注入

如果这个表单本身不需要防伪校验，也可以直接在form标签上添加asp-antiforgery="false"属性，关闭当前表单的防伪令牌注入，就不会自动加X-Frame-Options头了：

<form asp-action="myAspAction_1" enctype="multipart/form-data" id="my-form" asp-antiforgery="false">
      <div style="text-align: center; margin: auto;">
           <label>Choose file: </label><input asp-for="myAspAction_2" onchange="changeFnc()" style="width: 200px; text-align: center; margin: auto;" />
      </div>
      <input id="input-box-1" type="submit" value="My value" disabled="true" style="width:200px; margin:20px" />
 </form>

注意：该方案适合不需要做防跨站请求伪造校验的公开表单，涉及用户身份、敏感操作的表单不建议关闭防伪校验。

内容的提问来源于stack exchange，提问作者thatOneGuy