必须按路径区分并始终设置x-frame-options和content-security-policy响应头，因单一c.header()调用存在作用域局限、非200响应丢失、误封健康检查等三大问题，且两头需共存以兼顾新老浏览器兼容性。
直接加 X-Frame-Options 和 Content-Security-Policy 响应头，但必须按路径区分、加 always、避开静态资源和 API 接口——否则要么失效，要么把健康检查页也封死。
为什么不能只写一行 c.Header("X-Frame-Options", "DENY")
这行代码在 Gin 中看似简单，但实际运行时有三个隐性问题：一是它只对当前 handler 生效，中间件里漏掉一个路由就全白防；二是不带 always 语义，遇到 304、204 或 panic 返回的错误页，头就丢了；三是没做路径判断，比如把 /healthz 或 /api/v1/status 也设成 DENY，监控系统 iframe 加载失败，告警误报。
更麻烦的是，Gin 默认不拦截 304 响应（ETag 匹配时），而 c.Header() 不会自动注入到这类响应中。必须用 c.Writer.Header().Set() + 显式写状态码才能兜住，但太重。推荐统一用中间件 + gin.HandlerFunc 封装。
- 敏感页面（如
/login、/admin）用DENY - 需内部嵌套的页面（如
/embed/report）用SAMEORIGIN - 完全不需要 iframe 的前端单页（
/app/*）可统一设'none'in CSP
Gin 中正确设置 X-Frame-Options 和 frame-ancestors
两个头要共存，不是二选一。现代浏览器优先读 frame-ancestors，老浏览器靠 X-Frame-Options 兜底。Gin 里不能只设一个，否则兼容性断层。
示例中间件：
func securityHeaders() gin.HandlerFunc {
return func(c *gin.Context) {
// 所有 HTML 响应都该有这两个头
c.Header("X-Frame-Options", "DENY")
c.Header("Content-Security-Policy", "frame-ancestors 'none';")
// 但 /embed/ 路径例外
if strings.HasPrefix(c.Request.URL.Path, "/embed/") {
c.Header("X-Frame-Options", "SAMEORIGIN")
c.Header("Content-Security-Policy", "frame-ancestors 'self';")
}
c.Next()
}
}
注意：'none' 和 'self' 是 CSP 的字符串字面量，必须带单引号；SAMEORIGIN 是 X-Frame-Options 的值，不带引号。
- 别在
HTML模板渲染前才设头——Gin 的c.HTML()会覆盖之前设的Content-Security-Policy - 如果用了第三方统计（如百度热点追踪），得单独放开：
frame-ancestors 'self' https://tongji.baidu.com; -
add_header是 Nginx 的写法，Gin 里无效，别抄错
容易被忽略的验证环节
配完不验证 = 没配。Gin 启动后，必须手动验证三件事：
- 用
curl -I http://localhost:8080/login看响应头是否存在X-Frame-Options: DENY - 打开 Chrome DevTools → Network → 刷一次页面 → 找 HTML 请求 → 点开 Headers → 检查
Content-Security-Policy是否含frame-ancestors - 建个测试 HTML 文件，里面写
<iframe src="http://localhost:8080/login"></iframe>，加载后看控制台是否报Refused to display ... in a frame because it set 'X-Frame-Options' to 'DENY'
特别注意：如果用了反向代理（比如 Nginx 前置），Gin 设的头可能被 Nginx 覆盖或丢弃——此时得在 Nginx 侧补 add_header X-Frame-Options ... always;，且确保 proxy_hide_header 没屏蔽掉。
