Почему nginx добавляет x-frame-options автоматически?

Question

[new_username]

Всем привет! Настраиваю вебвизор яндекс метрики, для этого нужно отключить x-frame-options для определённых доменов. Но у меня это сделать не получается. Nginx почему-то добавляет заголовок x-frame-options автоматически. Все мои правки конфигурации в /etc/nginx/sites-enabled/project добавляют второй заголовок x-frame-options, а не меняют первый.



Я добавлял следующий код в конфигурационный файл.

location / {
                set $frame_options '';
                if ($http_referer !~ '^https?:\/\/([^\/]+\.)?(project\.ru|webvisor\.com|metri[ck]a\.yandex\.(com|ru|by|com\.tr))\/'){
                        set $frame_options 'SAMEORIGIN';
                }
                add_header X-Frame-Options $frame_options;
                ...

Подскажите, как правильно изменить его?

Comments

[dodo512]

Покажите весь блок server { }

[new_username]

dodo512,

server {
        listen 80;
        server_name project.ru;

        location /static/ {
                autoindex on;
                root /var/www;
        }
        location / {
                set $frame_options '';
                if ($http_referer !~ '^https?:\/\/([^\/]+\.)?(project\.ru|webvisor\.com|metri[ck]a\.yandex\.(com|ru|by|com\.tr))\/'){
                        set $frame_options 'SAMEORIGIN';
                }
                add_header X-Frame-Options $frame_options;
                include proxy_params;
                proxy_pass http://unix:/run/gunicorn.sock;
        }

    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/project.ru/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/project.ru/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot
}

[dodo512]

new_username, очевидно бэкенд добавляет свой заголовк и отключить это можно с помощью proxy_hide_header.
proxy_hide_header X-Frame-Options;
После уже можно рулить с помощью set if add_header.

Answer 1

[dodo512]

proxy_hide_header

proxy_hide_header X-Frame-Options;

Клиенту не будет передаваться заголовок X-Frame-Options из ответа проксированного сервера.
Тогда добавлением заголовка можно управлять с помощью add_header.

Comments

[new_username]

Огромное спасибо за решение, помогло. И за ссылку спасибо, буду изучать.