随着网络技术的快速发展，网站安全问题日益受到关注。恶意攻击者通过将第三方网站嵌入框架（iframe）进行点击劫持、流量窃取等行为，已成为常见的攻击手段。如何有效防止网站被非法嵌入框架，成为开发者必须重视的防护课题。
HTTP响应头设置
通过HTTP响应头设置是最直接有效的防护手段。X-Frame-Options作为业界标准，可限制浏览器对框架嵌套的处理逻辑。该响应头提供三个参数：DENY（完全禁止嵌套）、SAMEORIGIN（仅允许同源嵌套）、ALLOW-FROM（指定允许域名）。例如在Nginx服务器配置中添加"add_header X-Frame-Options 'SAMEORIGIN';"，即可实现同源策略防护。这种方法的优势在于服务端全局生效，不受客户端脚本执行环境影响。
微软研究数据显示，X-Frame-Options的防护有效率超过98%，主流浏览器均已支持该标准。但需注意部分旧版浏览器（如IE7）存在兼容性问题，此时需要结合其他技术形成多层防护体系。实际部署时，建议优先采用DENY策略，若业务必须使用iframe交互，则选择SAMEORIGIN并严格审核同源域名。
前端脚本防护机制
JavaScript跳转脚本是早期广泛应用的防护方案。其核心逻辑是通过检测window.top与self.location的差异判断是否被嵌套，若存在差异则强制跳出框架。典型实现如："if(top.location!=self.location) top.location=self.location;"。这种方法的优势在于部署简单，但存在被攻击者通过沙箱环境、浏览器插件等方式绕过的风险。
研究机构OWASP指出，单纯依赖前端脚本的防护存在三大漏洞：浏览器安全策略限制、跨域访问例外情况、脚本执行顺序干扰。因此建议将其作为辅助手段，与HTTP头防护组合使用。优化方案包括将脚本置于HTML头部优先执行，增加随机数校验等二次验证机制，例如在跳转前验证父窗口域名白名单。
内容安全策略联动
内容安全策略（CSP）通过frame-ancestors指令提供更细粒度的控制。与X-Frame-Options相比，CSP支持多域名白名单设置，例如"Content-Security-Policy: frame-ancestors 'self'
CSP的部署需要关注策略配置的完整性。建议采用"default-src 'self'"作为基础策略，配合report-uri收集违规日志。对于需要动态加载资源的场景，可通过nonce或hash机制实现安全例外。需注意CSP与X-Frame-Options的优先级关系，当两者共存时以最严格策略为准。
沙箱隔离技术
HTML5引入的sandbox属性为iframe提供了物理隔离方案。通过设置"