¿Cómo consigo que Sinatra se abstenga de agregar el encabezado X-Frame-Options?

Otra solución, y la que terminé con en producción, involucra el parche de mono Rack::Protection::FrameOptions:

# This monkeypatch is needed to ensure the X-Frame-Options header is
# never set by rack-protection.
module Rack
  module Protection
    class FrameOptions < Base
      def call(env)
        status, headers, body = @app.call(env)
        [status, headers, body]
      end
    end
  end
end

Ninguna de las opciones presentadas aquí funcionó para mi aplicación sinatra. Terminé agregando un filtro después para modificar el encabezado X-Frame-Options para permitir que la aplicación sea enmarcada por Facebook.

after do
  headers({ 'X-Frame-Options' => 'ALLOW-FROM apps.facebook.com' })
end

La respuesta" set :protection, :except => :frame_options " no funcionó para mí, usando Sinatra-1.3.3

Tuve que hackear una solución; puse este mutha en mi config.ru archivo. Obs puedes cambiar el encabezado para que sea lo que quieras.

Config.ru

class Rack::Protection::FrameOptions
  def header
    @header ||= {}
  end
end

Creo que he encontrado una buena manera de manejar esto, pero agradecería comentarios

El objetivo es desactivar las opciones X-Frame solo por una ruta para mantener todos los beneficios de protección de rack:

    app.get'/hello_world' do
      headers({ 'X-Frame-Options' => '' })
      "HELLO WORLD"
    end

Creo que esta es una buena opción, ya que parece evitar que la protección de rack agregue el encabezado SAMEORIGIN en esta ruta

En realidad, la solución dada por @matt sigue funcionando con Sinatra v1.4.5.

Sí, Sinatra está usando Rack:: Protection y de acuerdo con Configurando la protección contra ataques

Puede desactivar la protección en absoluto (lo cual no se recomienda):

disable :protection

O solo deshabilitar frame_options:

set :protection, :except => :frame_options

Aparte de eso, si tu problema no es debido a X-Frame-Options, puede ser Access-Control-Allow-Origin, entonces lo que usted tiene lo que hay que hacer es agregar la siguiente línea a su ruta antes de la declaración de devolución:

response['Access-Control-Allow-Origin'] = 'http://www.example.com/'