直接在Nginx配置中添加X-Frame-Options响应头可强制限制iframe嵌套，需在server或location块中使用add_header指令并加always参数，取值仅限DENY、SAMEORIGIN或ALLOW-FROM（后者现代浏览器已不支持），且须避免与CSP的frame-ancestors冲突。
直接在 Nginx 配置中添加 X-Frame-Options 响应头，就能强制浏览器执行 iframe 嵌套限制，这对 HTTPS 站点同样有效——它不依赖协议类型，而是由响应头本身生效。关键在于配置位置、取值选择和确保错误页面也携带该头。
明确设置合法的 X-Frame-Options 值
该响应头只接受三个标准值，必须严格拼写，不能带空格或多余字符：
- DENY：完全禁止任何来源（包括自身）用 iframe 加载当前页面
- SAMEORIGIN：仅允许同域名下的页面嵌套（推荐大多数 HTTPS 站点使用）
- ALLOW-FROM https://example.com/：指定单一 HTTPS 来源（注意必须含协议和尾部斜杠；但现代 Chrome/Safari 已不支持此值，仅 Firefox/旧 IE 有限兼容）
在 server 或 location 块中配置 add_header 指令
把以下任意一行加入你的 HTTPS server 块（如监听 443 端口的配置），或更精确地放在 location / 中：
add_header X-Frame-Options SAMEORIGIN always;add_header X-Frame-Options DENY always;
务必加上 always 参数，否则 404、500 等非 2xx 响应不会发送该头，攻击者可能利用错误页绕过防护。
避免与 Content-Security-Policy 冲突
如果你同时配置了 Content-Security-Policy 的 frame-ancestors 指令（如 frame-ancestors 'self';），浏览器会优先采用 CSP 规则，X-Frame-Options 将被忽略。建议：
- 新项目直接使用
frame-ancestors，它更灵活、支持多源、是现行标准 - 遗留系统保留
X-Frame-Options作为降级兼容（尤其需支持旧版 IE/Firefox） - 两者不要混用同一策略，避免行为不可预期
验证配置是否生效
重启 Nginx 后，用 curl 或浏览器开发者工具检查 HTTPS 响应头：
-
curl -I https://yourdomain.com应返回X-Frame-Options: SAMEORIGIN - 打开 DevTools → Network → 刷新页面 → 查看 Headers → Response Headers 区域
- 尝试在本地 HTML 文件中用 iframe 加载你的 HTTPS 页面，确认被浏览器拦截（控制台报错 “Refused to display...”）
