Nginx配置X-Frame-Options后Chrome提示双值，求助排查

给你几个实际的排查方向和解决办法：

• 先确认头的实际来源
  直接执行curl -I 你的域名/目标路径查看返回的响应头，记下两个X-Frame-Options的具体值——比如一个是SAMEORIGIN一个是你添加的ALLOW-FROM，能帮你快速定位是谁额外添加了这个头。

• 排查后端服务是否返回该头
  如果你的Nginx是反向代理角色，直接请求后端服务地址（比如curl -I http://后端IP:端口），如果后端本身就返回了X-Frame-Options，那就是Nginx和后端各加了一个导致重复。这种情况可以在Nginx的location块里添加proxy_hide_header X-Frame-Options;，把后端返回的该头隐藏，只保留你配置的那一条。

• 检查Nginx的全局配置和继承关系
  确保递归搜索所有Nginx配置文件，用命令grep -r "X-Frame-Options" /etc/nginx/，还可以加-i参数忽略大小写。另外Nginx的add_header是会继承的：如果http块里全局配置了这个头，你的server或location块又重复添加，就会出现两个值。这种情况要么删掉其中一处配置，要么统一在一个层级设置。

• 排查第三方模块或默认配置
  有些Nginx第三方安全模块（比如modsecurity）可能会自动添加X-Frame-Options头，你可以检查是否启用了这类模块，或者查看对应模块的配置文件。

另外提个关键细节：Chrome已经不再支持X-Frame-Options: ALLOW-FROM语法，推荐改用Content-Security-Policy的frame-ancestors指令，兼容性更好，配置示例：

add_header Content-Security-Policy "frame-ancestors http://167.235.117.189;" always;

内容的提问来源于stack exchange，提问作者IkonoDim