SharePoint Iframe 报错“此内容不能显示在一个框架中”

问题描述

　　我们SharePoint站点用Excel Service发布的Excel，需要Iframe到其他系统中，但是，Iframe的时候发现报错“此内容不能显示在一个框架中”。

　　后来，尝试在其他系统中Iframe SharePoint其他页面，同样报这样的错误；但是SharePoint自己的页面，Iframe自己页面不报错，Iframe自己的Excel Services 页面报错，很奇怪的问题。

问题截图

问题介绍

　　经过很长一段时间的搜索，发现是一种安全策略造成的，为了防止“ClickJacking attacks”，然后在查找了一下，这是什么意思，原来是“点击劫持攻击”，下面我们再看看什么是这个点击劫持。

　　点击劫持定义 打开一个网页，出现一个flash广告框，你点击“关闭”按钮，可结果广告并没有关闭，却变成了全屏，这样的情况在计算机安全领域叫做点击劫持，也就是说你点击鼠标的行为被人给控制了。

　　点击劫持特征 点击劫持是一种恶意攻击技术，用于跟踪网络用户，获取其私密信息或者通过让用户点击看似正常的网页来远程控制其电脑。很多浏览器和操作平台都有这样的漏洞。

　　点击劫持作用 可以用嵌入代码或者文本的形式出现，在用户毫不知情的情况下完成攻击，比如点击一个表面显示是“播放”某个视频的按钮，而实际上完成的操作却是将用户的社交网站个人信息改为“公开”状态。

解决方案 一

　　其实问题就是Http响应标头是否有设置X-Frame-Options，我想SharePoint内部应该对这个进行限制了，造成了我们无法访问，而IIS站点的位置，却没有表现出来，然后，试图添加IIS站点的Http响应标头，发现可以解决问题。

1、打开IIS，点击HTTP响应标头；

2、分组的空白区域右键添加，如下节点；

　　X-Frame-Options header包括三种值:

　　· DENY

　　· SAMEORIGIN

　　· ALLOW-FROM origin

　　简单介绍，DENY就是所有的Iframe都禁止，SAMEORIGIN是本服务器允许Iframe，ALLOW-FROM是定向允许，后面接域名。

解决方案 二

　　以上是第一种解决方案，通过修改网站的Http响应标头，后来查找发现，还有其他的解决方案，通过部署解决方案，禁用SharePoint的限制。这个是一个完整的博客，请参考一下博文。

　　在其他系统Iframe中显示SharePoint 页面

　　http://www.cnblogs.com/yunliang1028/archive/2013/08/07/3243246.html

解决后效果图

　　如下图，可以正常Iframe了，我先使用解决方案二把SharePoint的屏蔽掉，自己使用添加HTTP响应标头的方法，开放我需要的站点进行Iframe。这样，就防止了点击劫持，有能使需要的站点进行Iframe，效果图下面。

结束语

　　其实，很想吐槽一下，想了想，这个问题有让自己多了解了SharePoint一番，还了解了HTTP响应标头，还不错，算了，我忍了。做了这么久SharePoint，遇到各式各样的问题，习惯了，好了，就到这里，休息，休息一下~~

附 录

　　http://blogs.msdn.com/b/ieinternals/archive/2010/03/30/combating-clickjacking-with-x-frame-options.aspx

特别鸣谢

　　http://www.cnblogs.com/yunliang1028/博客博主Yunliang Yu的解决方案~