应以Content-Security-Policy的frame-ancestors为主，X-Frame-Options仅作IE10/11兼容；因主流浏览器忽略X-Frame-Options、ALLOW-FROM已弃用、SAMEORIGIN易误拦合法嵌入，且多头冲突可能导致响应被拒。
直接加 add_header X-Frame-Options 并不能真正防止静态页面被恶意嵌套，它只是向浏览器“声明意图”，而现代浏览器已基本忽略它。当前（2026年）应以 Content-Security-Policy: frame-ancestors 为主，X-Frame-Options 仅作 IE10/11 或老旧系统兼容用。
为什么单独配 X-Frame-Options 不够用
Chrome、Firefox、Edge 等主流浏览器在检测到 frame-ancestors 指令后，会完全不读取 X-Frame-Options；ALLOW-FROM 在 Chrome 46+ 和 Firefox 76+ 中已彻底失效；SAMEORIGIN 会误拦合法嵌入（如微前端子应用、SaaS 控制台内嵌仪表盘）；若 Nginx 和后端 PHP/Node 同时设置该头，可能重复发送，部分浏览器直接拒收响应。
如果仍需配置 X-Frame-Options，必须满足这些条件
- 只在
server或location ~ \.html$块中设置一次，避免多层叠加 - 值只能是
DENY或SAMEORIGIN（ALLOW-FROM已弃用，勿用） - 务必加上
always参数，确保 404、500 等错误页也携带该头：add_header X-Frame-Options "SAMEORIGIN" always; - 确认所有静态 HTML 文件都由同一 Nginx location 规则返回，否则某些路径会漏配
更推荐的现代做法：用 CSP 替代
对静态页面，直接使用 frame-ancestors 更灵活、标准、可组合：
- 完全禁止嵌入：
add_header Content-Security-Policy "frame-ancestors 'none';" always; - 仅允许同源嵌入：
add_header Content-Security-Policy "frame-ancestors 'self';" always; - 放行多个可信域名：
add_header Content-Security-Policy "frame-ancestors https://admin.example.com https://embed.trusted.io;" always;
补充提醒：别和前端 meta 或 JS 冲突
HTML 中写 <meta http-equiv="X-Frame-Options" content="SAMEORIGIN"> 无效，浏览器只认 HTTP 响应头；JS 检测（如 if (top !== self)）只能作为辅助手段，无法替代服务端策略，且易被绕过。重点还是把 CSP 头配准、配全、配稳。
