防范点击劫持需通过nginx配置x-frame-options（如sameorigin）和csp frame-ancestors双头策略，按路径差异化设置，并验证响应头生效。

防范点击劫持，核心是阻止恶意网站用 <iframe></iframe> 嵌套你的页面。Nginx 本身不处理业务逻辑，但可通过设置安全响应头，从网络层切断嵌入路径。关键不是“加一行头就完事”，而是选对策略、配准范围、留出例外。

用 X-Frame-Options 控制 iframe 嵌入权限

这是最直接、浏览器兼容性最好的防御手段。它只管“能不能被框”，不防 XSS 或 CSRF，但必须有。

• DENY：全站禁止任何嵌入，最严格，适合管理后台、支付页等敏感入口
• SAMEORIGIN：仅允许同域名下的页面嵌入（如 app.example.com 嵌套 api.example.com），推荐作为默认策略
• ALLOW-FROM uri：指定单个可信来源（如合作方页面），但 Chrome 和 Firefox 已弃用，仅 Safari 部分支持，慎用

在 Nginx 配置中添加：

add_header X-Frame-Options "SAMEORIGIN" always;

搭配 CSP frame-ancestors 实现现代双保险

X-Frame-Options 是旧标准，CSP 的 frame-ancestors 是它的替代和增强。两者共存可兼顾新老浏览器，且后者支持更细粒度控制（如允许多个域名、支持 'none' 和 'self' 关键字）。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 设为 frame-ancestors 'self'; 等效于 SAMEORIGIN
• 设为 frame-ancestors 'none'; 等效于 DENY
• 允许多个来源：frame-ancestors 'self' https://partner.com;

Nginx 中配置示例：

add_header Content-Security-Policy "frame-ancestors 'self';" always;

按路径差异化配置，避免误伤功能

不是所有页面都要一刀切禁止嵌入。比如公开的宣传页可能需被嵌入到官网首页，而登录页绝对不能被套；百度统计的“点击图”也依赖 iframe 加载，硬设 DENY 会导致其失效。

• 对敏感路径（/login、/admin、/transfer）单独设 DENY
• 对开放页面（/about、/public-api）可设 SAMEORIGIN 或留白
• 若需支持特定第三方（如统计、客服 SDK），优先用 CSP 的 frame-ancestors 显式声明，而非退回到已废弃的 ALLOW-FROM

验证是否生效，别只信配置文件

加了头≠起作用。常见失效原因包括：代理覆盖、PHP/后端重复设置冲突、HTTPS 未强制导致 HTTP 响应不带头、location 块嵌套错误导致 add_header 未继承。

• 用浏览器开发者工具 → Network → 查看任意页面响应头，确认 X-Frame-Options 和 Content-Security-Policy 存在且值正确
• 用 curl 检查：curl -I https://your-site.com/login
• 建一个测试 HTML 文件，尝试用 iframe 加载你的页面，观察是否被拒绝渲染