X-Frame-Options是防御点击劫持最基础有效的手段，通过DENY、SAMEORIGIN或ALLOW-FROM控制页面嵌入行为，推荐在server或location块中配置并加always参数，同时建议与CSP的frame-ancestors共用以兼顾兼容性与灵活性。
直接在 Nginx 中配置 X-Frame-Options 是防御点击劫持最基础、最有效的手段之一。它不依赖前端代码，也不需要改业务逻辑，只需几行配置就能让浏览器拒绝被恶意 iframe 嵌套。
为什么必须配 X-Frame-Options？
点击劫持的本质是视觉欺骗：攻击者把你的登录页、支付页用透明 iframe 叠在自己页面上，诱导用户点击看似无害的按钮，实则触发你网站里的敏感操作。浏览器默认允许嵌入，而 X-Frame-Options 就是明确告诉浏览器“不准随便被框进去”。虽然现代浏览器更倾向执行 Content-Security-Policy: frame-ancestors，但 X-Frame-Options 仍被所有主流浏览器完整支持，是兼容性兜底的关键一环。
三种取值怎么选？
DENY：最严格，完全禁止任何嵌入。适合管理后台、账户中心等绝不该出现在 iframe 中的页面。
SAMEORIGIN：推荐大多数业务站点使用。只允许同域名下的页面嵌入，比如你自己的帮助文档页用 iframe 加载产品页，是安全且可用的。
ALLOW-FROM uri：已基本被主流浏览器弃用（Chrome、Firefox、Edge 均不再支持），不建议使用。如需跨域嵌入，应改用 CSP 的 frame-ancestors 并配合 HTTPS。
配置位置和写法要点
避免写在 http 块顶层——那样会作用于所有响应（包括图片、JS、CSS），既冗余又可能被后续 location 块覆盖。
正确做法是放在 server 块内，或更精准地放在 location ~ \.php$、location / 等处理动态内容的块中。
必须加上 always 参数，否则 301/302 重定向、4xx/5xx 错误页都不会携带该头，留下防护缺口。
add_header X-Frame-Options "SAMEORIGIN" always;- 若用 phpEnv 或自定义 FastCGI 配置，确认没有
fastcgi_hide_header X-Frame-Options这类隐藏指令 - 配置后务必运行
nginx -t检查语法，再重启（不是 reload）Nginx 生效 - 用
curl -I https://yoursite.com/login.php直接验证响应头是否出现
进阶建议：用 CSP 的 frame-ancestors 替代或补充
X-Frame-Options 功能单一，且无法指定多个允许域名。CSP 的 frame-ancestors 更灵活：
– frame-ancestors 'self'; 等价于 SAMEORIGIN
– frame-ancestors 'self' https://partner.example.com; 支持多源白名单
– 浏览器优先识别 frame-ancestors，一旦存在就忽略 X-Frame-Options
所以理想配置是两者共存：保留 X-Frame-Options 兜底老浏览器，同时添加 CSP 头提升控制力。例如：
add_header Content-Security-Policy "default-src 'self'; frame-ancestors 'self' https://embed.example.com;" always;<br>add_header X-Frame-Options "SAMEORIGIN" always;
