web.config中X-Frame-Options配置无效，求仅允许3个域名的正确配置

你的原有配置存在两个核心问题：

1. 重复定义X-Frame-Options头：HTTP响应中不能存在多个同名头，服务器只会处理其中一条，导致规则冲突失效。
2. X-Frame-Options: ALLOW-FROM不支持多域名：该指令设计上只能指定单个源，无法同时配置多个允许的域名。

正确解决方案：使用Content-Security-Policy（CSP） #

现代浏览器均支持CSP的frame-ancestors指令，它完全替代了X-Frame-Options的功能，且原生支持多域名配置。在web.config中按以下方式配置：

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <!-- 移除原有无效的X-Frame-Options配置 -->
      <remove name="X-Frame-Options" />
      <!-- 配置仅允许指定域名嵌入当前页面到IFrame -->
      <add name="Content-Security-Policy" value="frame-ancestors https://domain1 https://domain2 https://domain3;" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

配置说明： #

• frame-ancestors后直接用空格分隔所有允许的域名，无需额外格式。
• 如果需要允许自身域名（比如本站页面嵌套自身），可以在列表中添加'self'，即：frame-ancestors 'self' https://domain1 https://domain2 https://domain3;
• 未被列入的域名将无法通过IFrame加载你的Web应用，达到默认拒绝、仅允许指定域名的效果。

关于老旧浏览器兼容（可选） #

如果需要兼容IE11这类不支持CSP frame-ancestors的浏览器，由于X-Frame-Options无法支持多域名，只能通过后端逻辑动态判断请求的Referer头，针对性返回X-Frame-Options: ALLOW-FROM对应域名，但这种方式维护成本高且可靠性有限，建议优先采用CSP方案。

内容的提问来源于stack exchange，提问作者Aryan M