lokale HTML mit iframes - XSS Protection deaktivieren

[gravitas]

Sorry; für die später Reaktion; war unterwegs!

Wie auch immer.

Genau! Einfach lokal ablaufen lassen.

Ich habe mal auf die schnelle ChatGPT nach der Konfiguration gefragt:


Nginx als Reverse-Proxy

# nginx.conf (Snippet)
server {
listen 8080;
server_name localhost;

# Statische eigene Seite (optional)
location = / {
root /var/www/html; # passe Pfad an
index index.html;
}

# Proxy für Ziel (einfacher: feste Ziel-URL)
location /proxy/ {
# Ziel hier fest verdrahten:
# z.B. https://example.com → alle Pfade nach /proxy/… werden weitergereicht
proxy_pass https://example.com/;

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_ssl_server_name on;
proxy_redirect off;

# Kritische Header entfernen/ersetzen
proxy_hide_header X-Frame-Options;
proxy_hide_header Content-Security-Policy;

# Eigene CSP, die deine Seite als Parent erlaubt:
add_header Content-Security-Policy "frame-ancestors http://localhost:8080 http://127.0.0.1:8080" always;

# Optional: COOP/COEP lockern
more_clear_headers 'Cross-Origin-Opener-Policy';
more_clear_headers 'Cross-Origin-Embedder-Policy';

# CORS für lokale Tests
add_header Access-Control-Allow-Origin "http://localhost:8080" always;
add_header Access-Control-Allow-Credentials "true" always;
}
}


<iframe
src="http://localhost:8080/proxy/"
style="width:100%;height:80vh;border:0"
sandbox="allow-scripts allow-same-origin allow-forms allow-popups">
</iframe>