x-frame-options 和 csp 的 frame-ancestors 是唯一能硬拦截 iframe 嵌套的机制；meta 标签无效，frame-ancestors 语法必须严格（如 'none' 加引号），sandbox 不防被嵌入，html 层仅可做有限视觉兜底。
X-Frame-Options 和 Content-Security-Policy 的 frame-ancestors 指令是唯一能真正硬拦截 iframe 嵌套的机制，HTML 结构本身不具备拦截能力——所有靠 <meta>、CSS 遮罩、JS 检测 top !== self 的做法，要么被浏览器忽略，要么可被绕过，不能替代服务端响应头。
为什么 <meta http-equiv="X-Frame-Options"> 完全无效
这个写法从 2015 年起就被 Chrome、Firefox、Safari、Edge 全面废弃，不是兼容性问题，是规范从未支持。它根本不会出现在 HTTP 响应头里，用 curl -I 或开发者工具 Network 面板查，永远看不到该字段。
常见误判场景：
- 本地开发时看似生效，其实是 Vite/Webpack Dev Server 自动注入了响应头，和
<meta>无关 - 页面里写了但攻击者直接构造
<iframe src="your-page.html"></iframe>，浏览器压根不解析就决定是否加载 - 即使渲染了，也早已错过安全控制时机：嵌入行为发生在资源加载阶段，不是 DOM 解析阶段
frame-ancestors 配置必须严格遵循语法
它是当前 W3C 推荐、浏览器强制执行的唯一标准方案，但一个字符错就等于没设。
-
'none'和'self'必须带单引号，写成frame-ancestors none或frame-ancestors self直接失效 -
'self'不支持路径后缀，'self'/admin或'self' https://example.com/admin是非法语法 - 多个域名用空格分隔，不能加逗号：
frame-ancestors 'self' https://embed.example.com https://dash.company.net - 通配符
https://*.example.com不被识别，必须显式列出每个可信域名
sandbox 属性只控制 iframe 内容，不防被嵌入
sandbox 是用来限制“你嵌的别人”，不是防止“别人嵌你”。它对点击劫持无防护作用。
- 给自己的
<iframe src="third-party.com"></iframe>加sandbox="allow-scripts"，只能约束第三方脚本执行权限 - 若同时开
allow-scripts和allow-same-origin，沙箱完全失效，等同于裸嵌入 - 攻击者在恶意页面里嵌你的页面时，根本不会给你加
sandbox的机会——那是由攻击者控制的 iframe 标签
HTML 结构里唯一可做的有限兜底：内联遮罩 + JS 快速响应
这不是防御，而是让嵌入后的页面“不可用”。仅适用于旧版 IE 或 CSP 被绕过的极端场景，且必须配合服务端主策略使用。
- 在
开头插入一个全屏<div id="frame-guard">，初始 <code>style="position:fixed;z-index:9999;opacity:0.01;width:100%;height:100%;top:0;left:0;background:#fff;" - 紧跟一段内联脚本：
if (top !== self) { document.getElementById('frame-guard').style.display = 'block'; } - 注意：不能用
top.location = self.location，现代浏览器会抛SecurityError；也不能依赖visibility: hidden，透明层仍可穿透点击
真实攻击中，
frame-ancestors 'none' 一发即生效，而 HTML 层所有操作都发生在 iframe 已加载完成之后——此时劫持已成事实，能做的只是让界面失去交互意义。别把结构层技巧当防线，它只是最后一道视觉干扰。
