应以Content-Security-Policy的frame-ancestors为主，X-Frame-Options仅作IE10/11兼容；因主流浏览器忽略X-Frame-Options、ALLOW-FROM已弃用、SAMEORIGIN易误拦合法嵌入，且多头冲突可能导致响应被拒。

直接加 add_header X-Frame-Options 并不能真正防止静态页面被恶意嵌套，它只是向浏览器“声明意图”，而现代浏览器已基本忽略它。当前（2026年）应以 Content-Security-Policy: frame-ancestors 为主，X-Frame-Options 仅作 IE10/11 或老旧系统兼容用。

为什么单独配 X-Frame-Options 不够用

Chrome、Firefox、Edge 等主流浏览器在检测到 frame-ancestors 指令后，会完全不读取 X-Frame-Options；ALLOW-FROM 在 Chrome 46+ 和 Firefox 76+ 中已彻底失效；SAMEORIGIN 会误拦合法嵌入（如微前端子应用、SaaS 控制台内嵌仪表盘）；若 Nginx 和后端 PHP/Node 同时设置该头，可能重复发送，部分浏览器直接拒收响应。

如果仍需配置 X-Frame-Options，必须满足这些条件

• 只在 server 或 location ~ \.html$ 块中设置一次，避免多层叠加
• 值只能是 DENY 或 SAMEORIGIN（ALLOW-FROM 已弃用，勿用）
• 务必加上 always 参数，确保 404、500 等错误页也携带该头：
  add_header X-Frame-Options "SAMEORIGIN" always;
• 确认所有静态 HTML 文件都由同一 Nginx location 规则返回，否则某些路径会漏配

更推荐的现代做法：用 CSP 替代

对静态页面，直接使用 frame-ancestors 更灵活、标准、可组合：

• 完全禁止嵌入：add_header Content-Security-Policy "frame-ancestors 'none';" always;
• 仅允许同源嵌入：add_header Content-Security-Policy "frame-ancestors 'self';" always;
• 放行多个可信域名：add_header Content-Security-Policy "frame-ancestors https://admin.example.com https://embed.trusted.io;" always;

补充提醒：别和前端 meta 或 JS 冲突

HTML 中写 无效，浏览器只认 HTTP 响应头；JS 检测（如 if (top !== self)）只能作为辅助手段，无法替代服务端策略，且易被绕过。重点还是把 CSP 头配准、配全、配稳。