| 名称 | X-Frame-Options |
|---|---|
| 作用 | 限制被 iframe/frame 嵌套 |
| 规范 | RFC 7034 |
| 取值 | DENY / SAMEORIGIN（ALLOW-FROM 已废弃，用 CSP frame-ancestors 替代） |
Nginx 配置
Nginx 配置
add_header X-Frame-Options SAMEORIGIN always;现代等价能力是 CSP 的 frame-ancestors（更细粒度）：两者同时存在时以 CSP 为准；新项目建议直接用 CSP。
X-Frame-Options 防嵌套
控制页面能否被 iframe 嵌套：DENY 完全禁止、SAMEORIGIN 仅同源允许，用于防点击劫持。
易错点
- 嵌入自家子域页面时配 DENY 会把自己的界面也挡掉，用 SAMEORIGIN 或 frame-ancestors 白名单
数据来源与参考
- RFC 7034 X-Frame-Options
- W3C CSP（frame-ancestors）