<iframe>和<object>都是空的，但只在Firefox中

我正试图将一个网站embedded到另一个网站。 我控制这两个服务器，我将在这里将其称为“site1.com”（浏览器中的站点）和“site2.com”（我试图embedded的站点）。

HTMLembedded代码

尝试1，使用iframe标记：

<iframe height="600" width="600" name="my other site" src="https://site2.com/foo/bar"> Unable to display--your browser does not support frames. </iframe> 

尝试2，使用对象标签：

 <object type="text/html" height="600" width="600" name="my other site" data="https://site2.com/foo/bar"></object> 

我知道的事情不是问题

安全/不安全的不匹配

我读过Firefox不允许HTTPembeddedHTTPS页面。 这两个网站都是HTTPS，所以没有不匹配。 加载的资源（CSS等）也是来自同一个来源的https，所以没有混合内容的问题。

• 用于Linux的示例NPAPI插件
• 如何彻底删除Firefox并重新安装在Fedora中
• 从shell脚本中，确定firefox是否已经呈现了一个页面
• 如何从awk，perl或sed中删除LiveHTTPHeaders输出的响应？
• 安装旧版本的Firefox

我曾尝试将security.mixed_content.block_active_content设置为false ，以防我误解了这一点，但iframe仍然是空白的。

无效或不可信的证书

这两个网站都使用有效的证书，由适当的受信任机构签署，并且没有过期。 实际上，我们使用的是子域通配符证书，所以它们都使用相同的证书（它们都在同一个子域中）。

X-框架，选项

我试图embedded的网站有这个响应标题：

 X-Frame-Options: ALLOW-FROM SITE1.COM 

内容安全，策略

我试图embedded的网站有这个响应标题（这里包装为了可读性）：

 Content-Security-Policy: frame-ancestors https://site1.com; default-src 'self'; script-src https://site1.com 'self' 'unsafe-inline'; style-src https://site1.com 'self' 'unsafe-inline' 

额外的披露，可能不需要 – 这些头由Django应用服务器使用这个configuration和“django-csp”模块生成。

 X_FRAME_OPTIONS = 'Allow-From site1.com' CSP_FRAME_ANCESTORS = ('https://site1.com',) CSP_STYLE_SRC = ('https://site1.com', "'self'", "'unsafe-inline'") CSP_SCRIPT_SRC = ('https://site1.com', "'self'", "'unsafe-inline'") 

CORS

我的理解是CORS仅在请求包含“Origin”标题时才起作用。 这似乎并没有发生在这里。 我也尝试使用这个头来解决CORS问题：

 Access-Control-Allow-Origin: https://site1.com 

但是这似乎没有效果。

广告拦截器

我在Firefox安装中没有广告拦截器。 我也删除了所有的扩展，并在Firefox重新启动后重新testing，“空白iframe”行为保持不变，根本没有安装扩展。

观察到的行为

我已经testing使用以下浏览器。

• Google Chrome 58.0.3029.81（64位）（macOS）
• Safari 10.1（macOS）
• Firefox 53.0（64位）（macOS）
• Microsoft Edge 38.14393.0.0（Windows 10）

使用Chrome，Safari和Edge，框架显示如我所期望的 – site2.com在site1.com页面内显示为一个框。

使用Firefox，我显示了一个指定大小的空白空间（600×600）。 如果我使用iframe，那么周围有一个黑色边框。 如果我使用的对象，这只是一个没有边界的空白区域。

最有趣的是，如果我打开开发者控制台并重新加载页面，我会看到请求获取site1.com及其CSS等等，但是没有为site2.com 做出请求 。 这并不是说有一个问题显示site2.com，它从来没有要求。

此外，开发人员控制台不会显示有关此错误或警告。 如果有错误情况或安全exception阻止加载第二个站点，我希望某种警告被logging。

这已经让我疯狂了几天。 任何build议感激。

 X-Frame-Options: ALLOW-FROM https://SITE1.COM