拒绝在Thymeleaf中显示图像

Question

我有一个SpringBoot 2.1.7。与Thymeleaf模板引擎我hace这段代码在Thymeleaf模板，但图像不显示出来

<object data="assets/img/icons/ico_status_up.svg" type="image/svg+xml">
    <img th:src="@{assets/img/icons/ico_status_up.png}"  alt="UP">
</object>

我在浏览器的控制台中看到此错误：

Refused to display 'http://localhost:8080/bonanza/pecador/assets/img/icons/ico_status_up.svg' in a frame because it set 'X-Frame-Options' to 'deny'.

我在项目中使用Spring Security性：

<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

        <!-- Spring Security -->
        <dependency>
            <groupId>org.thymeleaf.extras</groupId>
            <artifactId>thymeleaf-extras-springsecurity5</artifactId>
        </dependency>

   <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-test</artifactId>
            <scope>test</scope>
        </dependency>

Answer 1

问题是您可能正在使用authconfigured Spring Security模块。

如Spring Security文档中所述：

解决点击劫持问题的更现代方法是使用X-Frame-Options标题：

X帧选项：拒绝

X-Frame-Options响应头指示浏览器防止响应中带有此头的任何站点在帧内呈现。默认情况下，Spring Security禁用iframe中的渲染。

因此，要配置此行为，您应该配置Spring Security性：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
        // ...
        .headers()
            .frameOptions()
                .sameOrigin(); // or disable();
    }
}

另外，我还鼓励你们看看这个问题，它涵盖了关于显示SVG所使用的html标记的主题-我使用什么