X-Frame-Options只能通过HTTP响应头设置，<meta>标签无效；因浏览器在HTML解析前已根据响应头决定是否渲染iframe，而<meta>属解析阶段，此时拦截已完成。
不能用 <meta> 标签设置 X-Frame-Options，这是无效的。 浏览器会完全忽略它，无论你写成 content="DENY" 还是 content="SAMEORIGIN"，都不会起作用。
为什么 <meta http-equiv="X-Frame-Options"> 总是失败
这个标签看起来像在模拟 HTTP 响应头，但 X-Frame-Options 是一个**强制由服务器发送的响应头**，浏览器在解析 HTML 之前就已根据该头决定是否渲染 iframe。而 <meta> 是 HTML 解析阶段才处理的内容，此时拦截早已完成。
常见错误现象：
- 页面嵌入后空白，控制台报错：
Refused to display 'xxx' in a frame because it set 'X-Frame-Options' to 'deny' - 明明写了
<meta http-equiv="X-Frame-Options" content="SAMEORIGIN">，但 Network 面板里 Response Headers 中根本看不到该字段 - 不同浏览器表现不一致（比如旧版 IE 可能偶然“似乎生效”，但不可靠、不标准）
正确设置必须走 HTTP 响应头
只有服务器在返回 HTML 时通过 HTTP Header 注入 X-Frame-Options，浏览器才会识别并执行策略。
实操建议：
- Apache：在
.htaccess或虚拟主机配置中加一行Header always set X-Frame-Options "SAMEORIGIN" - Nginx：在
server或location块中加add_header X-Frame-Options "SAMEORIGIN" always;（注意加always，否则对 304/4xx 响应不生效） - IIS：通过「HTTP 响应标头」界面添加，名称填
X-Frame-Options，值填SAMEORIGIN或DENY - Node.js（Express）：
res.setHeader('X-Frame-Options', 'SAMEORIGIN')，需确保在所有路由响应前执行
推荐直接迁移到 Content-Security-Policy 的 frame-ancestors
X-Frame-Options 已被现代标准视为遗留方案。ALLOW-FROM 指令在 Chrome 79+、Firefox 69+ 等主流浏览器中已被移除，且不支持多源配置。
替代方案更灵活、更标准：
- 等效
DENY：Content-Security-Policy: frame-ancestors 'none' - 等效
SAMEORIGIN：Content-Security-Policy: frame-ancestors 'self' - 允许多个可信来源（
X-Frame-Options做不到）：Content-Security-Policy: frame-ancestors 'self' https://a.com https://b.net - 可同时通过 HTTP 头或
<meta>设置（仅限无动态脚本的静态页）：<meta http-equiv="Content-Security-Policy" content="frame-ancestors 'self';">
真正容易被忽略的是：即使你控制嵌入方页面，也改不了被嵌入页面的响应头；而如果你只改了嵌入方的 meta 标签，那等于什么都没做。安全策略生效的位置，永远在被加载页面的服务端响应里。
