עזרה | iframe משום מה לא עובד לי...
-
@מוטי-אורן אההה, אוקיי... בכל מקרה יש אפשרות להתגבר על זה?
ומה עם יוטיוב? את זה גוגל כן מאפשרים? -
@איציק-דייטש אמר בעזרה | iframe משום מה לא עובד לי...:
את זה גוגל כן מאפשרים?
כן וודאי הם גם נותנים לך את הקוד המלא להטמעה
-
@אהרן-שובקס אוקיי, תודה רבה!
-
יש גם את האפשרות להשתמש באתר "פרוקסי" כגון:
https://jsonp.afeld.me/?url=
או להקים שרת משלך שעושה את אותו הדבר, ואז לא יהיה צורך בלהוריד את התוסף -
@מוטי-אורן אמר בעזרה | iframe משום מה לא עובד לי...:
כמו שאתה אומר, זה ממש לא מומלץ
זה לא שזה לא מומלץ (אולי גם), זה (גם) לא מועיל...
כי החסימה שלא תוכל לפתוח אתרים בiFrame קיימת אצל כל הציבור הרחב, ואם אתה בעצמך עקפת את זה - אתה מסודר, אבל לא פגעת בעצם הרעיון של החסימה - כי אצל הציבור זה נשאר חסום. -
@שמואל זה ברור. אבל מכיון ש @איציק-דייטש לא יכול לפרט מה הצורך שלו, היה לי צד שאולי הוא צריך את זה משום מה לצורך אישי, ואין לו עניין בזה לציבור הרחב.
אוקיי. לכל מי שלא הבין וגם למי שהבין, אני ינסה לעשות קצת סדר בדברים: הבעיה בהטמעות של iframe היא כזאת. אם כל אתר שלא יהיה יכול להטמיע אתר אחר בתוך תגית iframe, מה שיקרה זה שניתן לפגוע במשתמשי האתר באמצעות מתקפה מסויימת שנקראת Click jacking. הרעיון הוא כזה: אני שואב אתר כלשהו ע"י iframe לאתר שלי, מציג למשתמש מעל ה iframe תצוגה מסויימת או כפתור מסויים שנראה שהוא אמור לעשות פעולה כלשהיא, אבל מתחת התצוגה הזאת, מסתתר ה iframe. ומה שקורה, שהתוקף יכול ככה לגרום לאנשים שכלל לא התכוונו לכך ללחוץ על דברים שלא מרצונם (עי' עוד כאן).
באו מתכנתים ואמרו, יש לנו פיתרון. נדאג להוסיף header ל-HTTP headers, שהמשמעות שלו תהיה, האם לאפשר הטמעה מהאתר. אם וכאשר ה header הזה מוגדר לא לאפשר, הדפדפן ישלח בקשת GET לשרת, יקבל את התשובה עם כל המידע מהאתר, יעבור על ה-headers, יראה ש X-Frame-Option מוגדר לחסום, ויחסום את ה iframe מלעבד את המידע שהתקבל.
זאת אומרת: אם תיאורטית אותו תוקף הצליח להעביר את המותקף לדפדפן שהוא פיתח שלא מתייחס ל header הזה, הוא עדיין יכול לממש את התקיפה הזאת. -
@מוטי-אורן תודה רבה!!
הסבר מעולה!
בכל אופן נראלי שהסתדרתי עם הצורך שלי!
-
א אלישי העביר נושא זה מ-HTML5 ב-