beego 框架需手动注入安全响应头，推荐在自定义中间件中用 ctx.responsewriter().header().set("x-frame-options", "deny") 统一设置，确保所有响应（含错误页、重定向）生效；若用 csp，则必须完整设置 content-security-policy: frame-ancestors 'none';，末尾分号不可省，且避免重复头导致失效。
Beego 框架本身不内置 X-Frame-Options 或 Content-Security-Policy 的自动安全头，必须手动在中间件或控制器响应前注入；靠前端 JS 检测 top !== self 无效且危险，不能替代服务端响应头。
Beego 中设置 X-Frame-Options 响应头的正确位置
必须在请求处理链的早期、ctx.Output.Body() 或模板渲染之前写入响应头，否则可能被后续逻辑覆盖或遗漏（比如错误页、重定向、静态文件服务）。
- 推荐统一放在自定义中间件中，用
ctx.ResponseWriter().Header().Set("X-Frame-Options", "DENY") - 若只对特定控制器生效，可在
Prepare()方法里调用，但注意Prepare()在Get()等方法之前，仍属安全时机 - 避免在
Finish()中设置——此时响应体可能已写出，HTTP 头无法再修改 - Beego 2.x 默认启用
InsertFilter，中间件注册示例：beego.InsertFilter("/*", beego.BeeApp.Handlers, frameOptionsFilter)
Beego 配置 Content-Security-Policy frame-ancestors 的实操要点
frame-ancestors 是现代浏览器首选方案，但 Beego 不会自动合并多个 Content-Security-Policy 头，重复设置会导致策略失效或被截断。
- 务必使用单个完整头：例如
Content-Security-Policy: frame-ancestors 'none';（末尾分号不可省） - 若已有其他 CSP 指令（如
script-src），需手动拼接，不能只覆盖部分：frame-ancestors 'self'; script-src 'self' https://cdn.example.com; - 值中的
'self'严格匹配协议+域名+端口，子域名需显式列出：frame-ancestors 'self' https://admin.example.com; - 不要写
frame-ancestors *——Chrome 和 Firefox 已忽略该语法，等同于未设
为什么 Beego 项目里加了 JS 跳转逻辑 still doesn’t work
常见代码如 if (top !== self) top.location = self.location; 在 Beego 页面里加了也没用，这不是框架问题，而是浏览器机制和攻击路径决定的。
- 现代浏览器对跨源
top.location赋值抛出SecurityError，页面卡死或白屏，而非跳转 - 攻击者只需将恶意页部署在同源子域（如
evil.example.com），top === self判断就失效 - JS 检测发生在 iframe 加载完成之后，此时透明层早已就位，点击劫持已可执行
- 若页面本就允许嵌入（如管理后台需嵌入到 SSO 门户），该脚本反而破坏正常流程
真正起效的只有服务端发出的 X-Frame-Options 或 Content-Security-Policy 响应头；Beego 中漏配 always 类似语义（如 Nginx 的 add_header ... always），会导致 304、404、500 等非 200 响应丢失防护头——这点最容易被忽略。
