meta http-equiv="Window-target"完全无效，因HTML规范从未定义该属性，浏览器直接忽略；真正有效的防嵌套措施仅限服务端设置Content-Security-Policy: frame-ancestors 'none'或X-Frame-Options: DENY响应头。
meta http-equiv="Window-target" 不能防止网页在他人框架中嵌套——它根本不是标准属性，浏览器不识别，也不起任何防御作用。
为什么 Window-target 是无效的伪配置
这个写法最早出现在部分过时文档或误传教程里，但 HTML 规范（包括 HTML5 和 Living Standard）中从未定义过 http-equiv="Window-target"。浏览器遇到它，只会忽略，既不会报错，也不会触发任何跳转或防护行为。
- 查 MDN、WHATWG、W3C 官方文档，均无此条目
-
curl -I your-page.com返回头里看不到对应 header，Network 面板也查不到任何影响 - 哪怕你写成
<meta http-equiv="Window-target" content="_top">，页面照样能被<iframe src="your-page">正常加载
真正有效的防嵌套手段只有服务端响应头
阻止页面被 iframe 嵌入，唯一可靠路径是让服务器返回正确的 HTTP 响应头：
-
Content-Security-Policy: frame-ancestors 'none';—— 最新标准，优先级高于 X-Frame-Options -
X-Frame-Options: DENY—— 旧但仍有兼容性，仅作补充 - 两者必须由后端（如 Nginx、Apache、Node.js、Spring Boot）直接设置，
<meta>标签完全无法替代 - Nginx 示例：
add_header Content-Security-Policy "frame-ancestors 'none';" always;（注意always参数，否则 304 响应不带 header）
前端 JS 检测只是兜底，不是防线
如果必须加一层视觉反馈，可放最顶部 <head> 的脚本：
立即学习“前端免费学习笔记（深入）”；
if (window.top !== window.self) {
window.top.location = window.self.location;
}
但要注意：
- 它无法阻止广告注入——页面 HTML 已被劫持并渲染完成，JS 才执行
- 父页面若设了
sandbox="allow-scripts"，这段代码直接被禁用 -
srcdoc内联 iframe 或 IE 旧版本可绕过同源检测 - 别把它当安全机制，只适合提示用户“你可能正在被嵌套浏览”
所有试图靠 <meta> 标签控制嵌套行为的尝试，本质都是配置幻觉。只要服务端没发对 frame-ancestors，攻击者本地建个 test.html 一行 <iframe src="your-site.com/login"> 就能验证是否失守。
