Nginx防iframe嵌套需在匹配HTML文件的具体location块中配置add_header X-Frame-Options SAMEORIGIN always，并优先使用CSP frame-ancestors，X-Frame-Options仅作IE兼容兜底。
在 Nginx 的 location 块中配置防 iframe 嵌套，核心是精准控制响应头作用范围，避免漏配或冲突。重点不是“加不加”，而是“加在哪、怎么加、加对没”。
只在 HTML 页面所在 location 中设置
不能笼统写在 location / 里就完事——如果静态 HTML 实际由 location ~ \.html$ 或 location ^~ /pages/ 返回，而这些块里没加头，那页面就完全不受保护。
- 确认你的 HTML 文件路径匹配哪个
location规则（比如location ~* \.(html|htm)$） - 把防护头直接加在这个匹配块内部，而不是父级或全局块
- 若用 Vue/React 等 SPA，通常所有路由都由
location /或location /index.html统一返回，那就必须在这里加
必须用 add_header X-Frame-Options SAMEORIGIN always
always 参数不可省略，否则 404、500、302 等非 2xx 响应不会带该头，攻击者可专门构造错误路径绕过防护。
- 值选
SAMEORIGIN：适合大多数业务场景，允许自身域名内嵌套（如帮助中心页嵌产品页） - 值选
DENY：适合登录页、支付页、后台入口等绝对不允许被嵌的页面 - 禁用
ALLOW-FROM：Chrome 46+、Firefox 76+ 已彻底废弃，Nginx 配了也无效，还可能引发响应头解析失败
避免与 CSP frame-ancestors 冲突
现代浏览器优先执行 Content-Security-Policy: frame-ancestors，它比 X-Frame-Options 更灵活、更标准。两者共存时，只要策略不矛盾，浏览器会按更严格的那个执行；但如果 CSP 明确允许某来源，而 X-Frame-Options 设为 DENY，部分旧浏览器可能行为不一致。
- 推荐主用 CSP：
add_header Content-Security-Policy "frame-ancestors 'self' https://trusted.example.com;" always; -
X-Frame-Options仅作兼容 IE10/11 和老旧环境的兜底，不要当成主力防护 - 两个头不要在不同 location 块里重复添加，尤其避免一个设
SAMEORIGIN、另一个设DENY
检查是否真生效
配置 reload 后，别只看首页，要实际验证目标页面的响应头：
- 打开浏览器开发者工具 → Network → 刷一次目标 HTML 页面 → 查看 Response Headers
- 确认存在
X-Frame-Options: SAMEORIGIN（且无重复） - 访问一个故意触发的 404 路径，同样检查响应头是否携带该字段——这是验证
always是否起效的关键
