跨子域嵌入iframe首次加载报X-Frame-Options错误，刷新后正常如何解决

这个场景我之前碰过，核心问题出在X-Frame-Options响应头的设置上：你的.NET Core站点（search.company.com）首次请求时返回了X-Frame-Options: sameorigin，浏览器默认把不同子域判定为不同源，所以直接拦截了iframe嵌入；而刷新后正常，大概率是会话建立后站点的响应头逻辑有变化，但我们得从根源上搞定，不能靠这种偶然的状态。

下面是具体的解决方案，按优先级排序：

一、用Content-Security-Policy替代X-Frame-Options（推荐，现代浏览器标准） #

X-Frame-Options的ALLOW-FROM指令已经被多数现代浏览器废弃，现在更推荐用Content-Security-Policy的frame-ancestors指令，它支持多个域名，还能匹配子域，灵活性更强。

在.NET Core中配置： #

根据你的.NET Core版本，在启动文件中添加自定义中间件来设置响应头：

如果你用的是.NET 6+（Program.cs）：

var builder = WebApplication.CreateBuilder(args);

// 保留你原本的服务配置（比如AddControllers、AddRazorPages等）

var app = builder.Build();

// 添加Content-Security-Policy响应头，允许wordpress.company.com嵌入
app.Use(async (context, next) =>
{
    // 允许自身和指定的WordPress子域嵌入，支持HTTP/HTTPS，按需修改
    context.Response.Headers.Add("Content-Security-Policy", "frame-ancestors 'self' http://wordpress.company.com https://wordpress.company.com;");
    await next();
});

// 保留你原本的中间件配置（比如UseRouting、UseAuthorization等）

app.Run();

如果你用的是.NET 5及更早版本（Startup.cs）：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 保留原本的中间件（比如UseStaticFiles、UseRouting等）

    // 添加Content-Security-Policy响应头
    app.Use(async (context, next) =>
    {
        context.Response.Headers.Add("Content-Security-Policy", "frame-ancestors 'self' http://wordpress.company.com https://wordpress.company.com;");
        await next();
    });

    // 保留原本的其他中间件（比如UseAuthorization、UseEndpoints等）
}

二、检查并修改IIS的HTTP响应头配置 #

有时候IIS会通过自身的HTTP响应头模块自动添加X-Frame-Options，这会覆盖.NET Core的设置，所以得确认一下：

• 打开IIS管理器，找到你的search.company.com站点
• 双击「HTTP响应头」功能
• 查看是否存在X-Frame-Options的条目：
  • 如果有，直接删除它（因为我们已经用Content-Security-Policy替代了）
  • 要是必须保留，也别设为sameorigin，不过还是推荐用方案一的标准配置

三、（可选）兼容旧浏览器的补充方案 #

如果你的场景需要兼容非常旧的浏览器，可以同时设置X-Frame-Options，但注意ALLOW-FROM在Chrome/Edge等现代浏览器中已经失效，只能作为补充：

在刚才的中间件里再加一行：

context.Response.Headers.Add("X-Frame-Options", "ALLOW-FROM http://wordpress.company.com");

为什么刷新后会正常？ #

这种情况一般是因为首次请求时，你的.NET Core站点还没建立会话或身份验证状态，此时默认返回X-Frame-Options: sameorigin；而刷新后会话已存在，站点可能根据上下文调整了响应头。但这种依赖状态的逻辑不稳定，主动配置允许指定子域的嵌入才是可靠的解决方式。

内容的提问来源于stack exchange，提问作者Ricker Silva