为何Google主站可通过参数嵌入IFRAME，Fonts站却不行？

直接嵌入Google主站到IFRAME无法生效，因为Google会发送X-Frame-Options: SAMEORIGIN响应头：

<iframe src="https://www.google.com/"></iframe>

使用带igu=1参数的URL可以解决这个问题：

<iframe src="https://www.google.com/webhp?igu=1"></iframe>

但将同样的参数应用到fonts.google.com时却无效：

<iframe src="https://fonts.google.com/webhp?igu=1"></iframe>

请问这是为什么？

• Google旗下不同子域名服务（比如主站www.google.com和字体站fonts.google.com）的安全策略是独立配置的，不存在统一的URL参数绕过规则。
• igu=1是Google主站搜索首页（webhp）专属的特殊参数，可能是Google为自家特定内嵌场景（比如部分关联产品的嵌入需求）预留的例外规则，当主站检测到这个参数时，会调整响应头中的X-Frame-Options或CSP的frame-ancestors规则，允许跨域嵌入。
• 字体站fonts.google.com的服务器并未配置针对igu=1参数的放行逻辑，它的响应头仍然会返回严格的X-Frame-Options: SAMEORIGIN或者CSP规则，限制非同源页面的iframe嵌入，因此添加该参数不会产生任何效果。

内容的提问来源于stack exchange，提问作者widespace