唯一有效路径是服务端设置HTTP响应头：Content-Security-Policy的frame-ancestors指令（如frame-ancestors 'none';），必须带单引号、以分号结尾；X-Frame-Options仅作IE11/Safari≤14.6兜底，两者需共存但不可依赖前端配置。
防点击劫持只有一条有效路径：让浏览器压根不把你的页面加载进 <iframe> —— 这必须靠服务端发正确的 HTTP 响应头，前端加 <meta> 或 JS 检测全是无效动作。
Content-Security-Policy 的 frame-ancestors 必须由服务端设置
这是当前 W3C 标准，Chrome/Firefox/Edge 全支持，且优先级高于 X-Frame-Options。它不是可选配置，是唯一现代有效手段。
- 值必须带单引号、以分号结尾：
frame-ancestors 'none';或frame-ancestors 'self' https://admin.example.com; - 写成
frame-ancestors none（无引号）或漏掉末尾分号 → 整个 CSP 策略被浏览器忽略 -
'self'仅匹配协议+域名+端口完全一致，a.example.com嵌入b.example.com不算同源，不会放行 - 不能用通配符
*，https://*.example.com大部分浏览器不支持，应显式列出可信源 - 前端用
document.write或<meta http-equiv="Content-Security-Policy">注入 → 完全无效，浏览器根本不解析
X-Frame-Options 只能作为旧浏览器兜底，且必须服务端发
IE11 和 Safari ≤14.6 不支持 frame-ancestors，此时 X-Frame-Options 是唯一防线。但它不能单独依赖，也不能写在 HTML 里。
Article To Html
下载
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
- 三个合法值：
DENY（最安全）、SAMEORIGIN（慎用，子域名不互通）、ALLOW-FROM（已废弃，别用） - Nginx 配置必须加
always参数：add_header X-Frame-Options "DENY" always;，否则 304/5xx 响应不带该头 - Express 中必须在
res.send()前调用：res.setHeader('X-Frame-Options', 'DENY') -
<meta http-equiv="X-Frame-Options" content="DENY">自 2015 年起所有主流浏览器均忽略 —— Network 面板里根本看不到这个 header
本地快速验证是否真生效
别信控制台有没有报错，要看 iframe 是否“静默加载成功”。攻击者不需要你感知，只要页面能进 iframe 就算破防。
立即学习“前端免费学习笔记（深入）”；
- 新建
test.html，填入透明<iframe src="https://your-site.com/payment">，用浏览器打开 - 确保你已登录目标网站，否则无法触发真实操作场景
- 观察点：不是“能不能显示”，而是 iframe 是否加载完成、不跳转、不报错、不拦截
- 同时检查 Network 面板里 HTML 响应的 Response Headers：必须有
Content-Security-Policy字段且含frame-ancestors，或X-Frame-Options - 如果两者都设了，现代浏览器只认
frame-ancestors；但若只设了X-Frame-Options，Chrome/Firefox 当它不存在
最容易被忽略的是：404 页面、登录页、API 返回的 HTML 响应、甚至静态资源路由 —— 只要可能被嵌入并触发敏感操作，就必须统一加防护。漏掉任意一个路径，整个防御就失效。
