ServerName 不防止 iframe 嵌套，真正起作用的是 X-Frame-Options 或 Content-Security-Policy: frame-ancestors 响应头；需在 Apache 中通过 mod_headers 主动配置这些头部，而非依赖 ServerName。

ServerName 本身不参与防止 iframe 嵌套，它只是 Apache 中用于标识虚拟主机的域名，和安全响应头无关。真正起作用的是 HTTP 响应头，比如 X-Frame-Options 或 Content-Security-Policy: frame-ancestors。

要防止被恶意网站用 <iframe> 套壳，必须在 Apache 配置中主动注入这些安全头部，而不是靠 ServerName 设置。

---

✅ 正确做法：配置安全响应头（关键）

确保 mod_headers 模块已启用（大多数 Apache 默认开启），然后在虚拟主机配置、主配置文件（httpd.conf）或 .htaccess 中添加以下任一方式：

1. 只允许同源嵌入（最常用）

<IfModule mod_headers.c>
    Header always set X-Frame-Options "SAMEORIGIN"
</IfModule>

或更推荐的现代写法：

<IfModule mod_headers.c>
    Header always set Content-Security-Policy "frame-ancestors 'self';"
</IfModule>

⚠️ 注意：二者不要共存；若同时设置，frame-ancestors 会完全覆盖 X-Frame-Options，且旧版 IE（如 IE10/11）只认后者。如需兼顾兼容性，可两者都设，但优先级以严格者为准。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

2. 完全禁止所有嵌入（最安全）

<IfModule mod_headers.c>
    Header always set X-Frame-Options "DENY"
    # 或 CSP 版本（推荐）
    Header always set Content-Security-Policy "frame-ancestors 'none';"
</IfModule>

3. 允许指定多个可信域名嵌入（如 SaaS 管理后台）

<IfModule mod_headers.c>
    Header always set Content-Security-Policy "frame-ancestors 'self' https://admin.example.com https://dashboard.trusted-app.io;"
</IfModule>

✅ frame-ancestors 支持空格分隔多个来源，'self' 表示当前域名，协议+域名必须写全（不能省略 https://）。

---

❌ 常见误区

• 把 ServerName example.com 当作安全控制手段 → 无效
• 在 <VirtualHost> 中只配 ServerName 和 DocumentRoot，没加安全头 → 页面仍可被任意 iframe 加载
• 使用已弃用的 ALLOW-FROM（如 Header set X-Frame-Options "ALLOW-FROM https://trusted.com"）→ 现代浏览器基本不支持，不应依赖

---

? 验证是否生效

部署后，用浏览器开发者工具（Network → Response Headers）检查返回头中是否包含：

• X-Frame-Options: DENY 或 SAMEORIGIN
• 或 Content-Security-Policy: frame-ancestors ...

也可用在线工具如 securityheaders.com 扫描。

---

不复杂但容易忽略