最稳妥做法是在 location ~ .php$ 块内添加 add_header x-frame-options deny;，仅作用于 php 生成的 html 页面，避免全局配置污染 api、静态资源及非 html 响应，防止语义错误、扫描误报与功能异常。
直接在 Nginx 的 location ~ \.php$ 块里加 add_header X-Frame-Options DENY; 是最稳妥的做法。不推荐全局配置，否则会污染 API、静态资源和非 HTML 响应，引发兼容性问题或功能异常。
为什么不能在 server 或 http 块里统一加
Nginx 的 add_header 指令不具备条件过滤能力——它一旦写在 server 或 http 块中，就会被**所有响应**带上，包括：
- JSON 接口（如
/api/login），浏览器不期望这类响应含X-Frame-Options，部分安全扫描器会报高危 - 健康检查端点（如
/healthz返回 204），无 body 却硬加头，属于语义错误 - JS/CSS/图片等静态文件，不仅无效，还增加响应体积
- 与 PHP 中
header()重复设置时，Chrome 可能因重复头拒绝渲染页面
应该在哪配？配什么值？
点击劫持只针对可渲染的 HTML 页面，而真实 HTML 输出基本都来自 PHP 脚本动态生成。因此头必须精准落在 PHP 执行路径上：
- 在
location ~ \.php$块内添加，确保只作用于 PHP 处理的响应 - 优先选
DENY：彻底禁止任何嵌套，防御最强，适用于绝大多数后台、管理页、支付页 - 若业务需同域 iframe（如微前端、内部子应用集成），再考虑
SAMEORIGIN -
ALLOW-FROM已被 Chrome 和 Firefox 废弃，不建议使用；百度统计热点图等需求，应改用 CSP 的frame-ancestors替代
正确配置示例
以 phpEnv 环境常见结构为例，在站点 server 块中找到 PHP location 并修改：
location ~ \.php$ {<br> include fastcgi_params;<br> fastcgi_pass 127.0.0.1:9000;<br> fastcgi_index index.php;<br> fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;<br> <strong>add_header X-Frame-Options DENY;</strong><br>}
保存后执行 nginx -s reload 生效。无需重启，也不影响其他 location（如静态资源、API）。
注意与 CSP 的配合
如果同时启用了 Content-Security-Policy，且设置了 frame-ancestors，请务必移除 X-Frame-Options —— 二者共存时，浏览器以 frame-ancestors 为准，但 X-Frame-Options 仍会冗余发送，可能干扰调试。现代项目建议逐步迁移到 CSP，因其支持更细粒度控制（如指定多个域名、支持 nonce 等）。
