Apache2下X-Frame-Options禁止跨域iframe的解决方法咨询

你当前的X-Frame-Options: "sameorigin"配置确实会限制仅同源站点能嵌入，而且旧版的ALLOW FROM写法在Apache 2.4+中已被淘汰，更关键的是X-Frame-Options的allow-from指令早已被浏览器废弃，现在应该用Content-Security-Policy（CSP）的frame-ancestors指令来实现精准控制。

具体操作步骤：

1. 修改Apache的security.conf配置文件
   注释掉原有配置：

   # Header set X-Frame-Options: "sameorigin"
   

   添加CSP配置，允许指定IP的站点嵌入：

   Header set Content-Security-Policy "frame-ancestors http://1.1.1.1 https://1.1.1.1;"
   

   若需要允许多个来源，用空格分隔即可，比如：

   Header set Content-Security-Policy "frame-ancestors http://1.1.1.1 https://example.com;"
   

2. 重启Apache服务使配置生效
   Debian/Ubuntu系统执行：

   sudo systemctl restart apache2
   

   RHEL/CentOS系统执行：

   sudo service httpd restart
   

3. 验证配置
   打开浏览器开发者工具，查看被嵌入站点（1.1.1.2）的响应头，确认存在Content-Security-Policy字段，且frame-ancestors包含允许的来源（1.1.1.1）。

注意：不要同时保留X-Frame-Options和CSP的frame-ancestors配置，浏览器会优先遵循更严格的规则，建议只保留CSP配置。

内容的提问来源于stack exchange，提问作者alb