עזרה | iframe משום מה לא עובד לי...

[איציק דייטש]

@מוטי-אורן אההה, אוקיי... בכל מקרה יש אפשרות להתגבר על זה?
ומה עם יוטיוב? את זה גוגל כן מאפשרים?

[אהרן שובקס]

@איציק-דייטש אמר בעזרה | iframe משום מה לא עובד לי...:

את זה גוגל כן מאפשרים?

כן וודאי הם גם נותנים לך את הקוד המלא להטמעה

[איציק דייטש]

@אהרן-שובקס אוקיי, תודה רבה!

[Universe]

אם אני לא טועה תוכל להוריד תוסף כרום שמבטל את CORS ולהתגבר על החסימה הזו. לא מומלץ, אבל אמור לעבוד.

[איציק דייטש]

פוסט זה נמחק!

[Universe]

יש גם את האפשרות להשתמש באתר "פרוקסי" כגון:
https://jsonp.afeld.me/?url=
או להקים שרת משלך שעושה את אותו הדבר, ואז לא יהיה צורך בלהוריד את התוסף

[מוטי אורן]

@universe לא לגמרי קשור ל CORS, למרות שאני מאמין שתוסף שמבטל את ה-CORS יכול לבטל גם את החסימה של iframe.
וכמובן כמו שאתה אומר, זה ממש לא מומלץ.

[שמואל]

@מוטי-אורן אמר בעזרה | iframe משום מה לא עובד לי...:

כמו שאתה אומר, זה ממש לא מומלץ

זה לא שזה לא מומלץ (אולי גם), זה (גם) לא מועיל...
כי החסימה שלא תוכל לפתוח אתרים בiFrame קיימת אצל כל הציבור הרחב, ואם אתה בעצמך עקפת את זה - אתה מסודר, אבל לא פגעת בעצם הרעיון של החסימה - כי אצל הציבור זה נשאר חסום.

[מוטי אורן]

@שמואל זה ברור. אבל מכיון ש @איציק-דייטש לא יכול לפרט מה הצורך שלו, היה לי צד שאולי הוא צריך את זה משום מה לצורך אישי, ואין לו עניין בזה לציבור הרחב.
אוקיי. לכל מי שלא הבין וגם למי שהבין, אני ינסה לעשות קצת סדר בדברים: הבעיה בהטמעות של iframe היא כזאת. אם כל אתר שלא יהיה יכול להטמיע אתר אחר בתוך תגית iframe, מה שיקרה זה שניתן לפגוע במשתמשי האתר באמצעות מתקפה מסויימת שנקראת Click jacking. הרעיון הוא כזה: אני שואב אתר כלשהו ע"י iframe לאתר שלי, מציג למשתמש מעל ה iframe תצוגה מסויימת או כפתור מסויים שנראה שהוא אמור לעשות פעולה כלשהיא, אבל מתחת התצוגה הזאת, מסתתר ה iframe. ומה שקורה, שהתוקף יכול ככה לגרום לאנשים שכלל לא התכוונו לכך ללחוץ על דברים שלא מרצונם (עי' עוד כאן).
באו מתכנתים ואמרו, יש לנו פיתרון. נדאג להוסיף header ל-HTTP headers, שהמשמעות שלו תהיה, האם לאפשר הטמעה מהאתר. אם וכאשר ה header הזה מוגדר לא לאפשר, הדפדפן ישלח בקשת GET לשרת, יקבל את התשובה עם כל המידע מהאתר, יעבור על ה-headers, יראה ש X-Frame-Option מוגדר לחסום, ויחסום את ה iframe מלעבד את המידע שהתקבל.
זאת אומרת: אם תיאורטית אותו תוקף הצליח להעביר את המותקף לדפדפן שהוא פיתח שלא מתייחס ל header הזה, הוא עדיין יכול לממש את התקיפה הזאת.

[איציק דייטש]

@מוטי-אורן תודה רבה!!
הסבר מעולה!
בכל אופן נראלי שהסתדרתי עם הצורך שלי!