x-frame-options 无法彻底杜绝点击劫持，需分路径配置 deny/sameorigin、与 csp frame-ancestors 共存并主动验证；allow-from 已废弃，静态资源不配此头，ie 仅支持 x-frame-options，现代浏览器优先识别 csp。
单靠 X-Frame-Options 无法“彻底杜绝”点击劫持，但它是最基础、最必须落地的一环。真正有效的防护需要分路径精准配置 + 与 CSP frame-ancestors 共存 + 主动验证，而不是加一行头就完事。
按页面语义选值：DENY 和 SAMEORIGIN 是唯二可用选项
ALLOW-FROM 已被 Chrome 46+、Firefox 76+ 完全废弃，生产环境严禁使用。实际可用的只有两个值：
- DENY：任何场景都不允许嵌入（含同站），适合登录页、支付确认页、API 健康检查页等完全不需要被 iframe 加载的页面；
- SAMEORIGIN：仅允许同源页面嵌入，适合管理后台首页、仪表盘等需内部 iframe 协作但拒绝外部嵌套的页面。
在 Nginx 中分路径配置，避免全局一刀切
不能在 http 或 server 块顶层写 add_header —— 否则 JS、CSS、图片等静态资源也会被错误带上该头，既无效又可能触发扫描误报。
- PHP 动态页（如 /login、/admin/*）：在
location ~ \.php$块内配置； - 纯 HTML 入口页（如 /index.html）：在对应 location 块中单独设置；
- API 接口（返回 JSON/TEXT）：不配 X-Frame-Options，它们本就不该被 iframe 加载。
示例：
location ~ \.php$ {
fastcgi_pass 127.0.0.1:9000;
add_header X-Frame-Options "SAMEORIGIN";
}
必须与 Content-Security-Policy 的 frame-ancestors 共存
现代浏览器（Chrome 40+、Firefox 45+、Edge 79+）优先识别 Content-Security-Policy: frame-ancestors，并直接忽略 X-Frame-Options；而 IE ≤10 只认后者。二者需同时存在，不可互斥：
-
X-Frame-Options: DENY等价于frame-ancestors 'none'； -
X-Frame-Options: SAMEORIGIN等价于frame-ancestors 'self'； - 若需放行多个可信域名（如微前端或 SaaS 嵌入），只能用
frame-ancestors https://a.com https://b.com，X-Frame-Options 做不到。
验证是否生效：不能只看响应头，要模拟真实攻击
curl 查看响应头只是第一步。真正要验证，得建一个含 iframe 的测试页：
在主流浏览器中打开，观察是否被阻止加载。若能正常渲染，说明配置未生效或被覆盖（比如后端框架自动注入了冲突头，或 Nginx 多处 add_header 导致重复）。还要检查是否有反向代理、CDN 或安全网关擅自改写或删除了该头。
