X-Frame-Options 不适合动态策略，因其已被弃用、语法僵硬且不支持多源或条件组合；应改用 map 驱动 CSP frame-ancestors 实现真正动态控制，X-Frame-Options 仅作兼容性兜底。

X-Frame-Options 本身不适合做“动态策略”，因为它已被现代浏览器弃用，且语法僵硬、不支持多源或条件组合。所谓“基于请求特征的动态 X-Frame-Options”，实际是误用概念——真正可落地的做法，是用 `map` 驱动更现代、更灵活的安全头（如 `Content-Security-Policy: frame-ancestors`），而对 X-Frame-Options 仅作兼容性兜底。 以下分三类讲清楚怎么做：

为什么不能真正在 X-Frame-Options 上做动态策略

该响应头只有三个合法值：DENY、SAMEORIGIN、ALLOW-FROM（后者已全平台废弃）。它不接受空值、通配符、多个域名，也不支持运行时拼接。即使你用 map 算出不同值，add_header 会覆盖前一个，最终只生效最后一个；浏览器遇到 ALLOW-FROM 还会直接忽略，只认 CSP。

用 map 实现“类动态”控制（仅限兼容场景）

若必须保留 X-Frame-Options（例如需支持 IE11 或老旧内嵌系统），可借助 map + add_header 组合，在 server 或 location 块中按请求特征输出单一确定值：

• 在 http 块中定义映射，例如按 host 区分策略：
  map $host $xfo_value {
    ~^admin\. example\.com "DENY";
    ~^public\. example\.com "SAMEORIGIN";
    default "DENY";
  }
• 在 server 块中统一注入，务必加 always 参数：
  add_header X-Frame-Options $xfo_value always;
• 确保整个配置中只有一处 add_header X-Frame-Options，避免被覆盖

推荐替代路径：用 map 驱动 CSP frame-ancestors

这才是标准、安全、可编程的动态嵌套控制方式。它原生支持子域通配、协议限定、多源白名单，并能无缝对接 map 变量：

• 按 Referer 动态放行可信来源：
  map $http_referer $csp_ancestors {
    ~*https?://dashboard\.corp\.io "'self' https://dashboard.corp.io";
    ~*https?://(staging|dev)\.app\.co "'self' *.app.co";
    default "'none'";
  }
• 在 location 中注入 CSP：
  add_header Content-Security-Policy "frame-ancestors $csp_ancestors" always;
• 可同时保留 X-Frame-Options 作降级（但值应固定为 DENY 或 SAMEORIGIN，不参与动态计算）