利用HTML代码设置网页防止被其他网站嵌在框架中-html教程-PHP中文网

x-frame-options比frame-busting javascript更可靠，因其由浏览器在渲染前强制校验，原生支持、不可禁用或绕过；而js可被禁用、sandbox iframe隔离或document.domain降域突破。

利用html代码设置网页防止被其他网站嵌在框架中

直接用服务端响应头控制比前端脚本更安全——JavaScript 可被禁用、绕过或延迟执行，而 X-Frame-Options 由浏览器在加载前强制校验。主流浏览器（Chrome、Firefox、Safari）均原生支持，且无需依赖 DOM 就生效。

常见错误是只写 JS 防嵌套（比如 if (top !== self) { top.location = self.location; }），但攻击者可通过 sandbox iframe 或 CSP 配置绕过，甚至利用 document.domain 降域突破。服务端头才是第一道防线。

该响应头只有三个合法值，不能拼写错误或加空格：

html-to-pptx-converter

使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。

下载

DENY：任何页面都不能被嵌入，最严格，适合登录页、后台管理页
SAMEORIGIN：只允许同源的父页面嵌入，适合内部子系统间集成（如 app.example.com 嵌入 api.example.com 的仪表盘）
ALLOW-FROM https://trusted-site.com：仅允许指定来源嵌入（注意：Chrome 从 95 版起已弃用此值，Firefox 也标记为废弃，不建议新项目使用）

必须确保响应头真实发出，可用浏览器开发者工具的 Network → Response Headers 验证是否含 X-Frame-Options: DENY。常见配置方式：

Apache：在 .htaccess 或虚拟主机配置中加 Header always set X-Frame-Options "DENY"
Nginx：在 server 或 location 块中加 add_header X-Frame-Options "DENY" always;（always 参数关键，否则对 304/错误响应不生效）
Node.js（Express）：app.use((req, res, next) => { res.setHeader('X-Frame-Options', 'DENY'); next(); });
Python（Flask）：@app.after_request def deny_frame(response): response.headers['X-Frame-Options'] = 'DENY'; return response

X-Frame-Options 已被现代标准视为遗留方案，CSP 的 frame-ancestors 指令功能更强、更灵活，且支持多源白名单和通配符：

等效 DENY：Content-Security-Policy: frame-ancestors 'none'
等效 SAMEORIGIN：Content-Security-Policy: frame-ancestors 'self'
允许多个可信域名：frame-ancestors 'self' https://partner-a.com https://partner-b.net
注意：CSP 是覆盖式策略，若同时设置 X-Frame-Options 和 frame-ancestors，浏览器优先遵循 CSP（Chrome/Firefox 行为一致）