Apache2配置X-Frame-Options:ALLOW-FROM指令报错求助

问题根源 #

1. ALLOW-FROM指令已废弃：现代主流浏览器（Chrome、Firefox、Edge等）早已不再支持X-Frame-Options: ALLOW-FROM指令，浏览器会直接忽略该配置并抛出错误。
2. 原配置语法错误：你写的指令里冒号后多了空格，且重复设置同一个响应头，也会导致解析异常。

正确解决方案 #

改用Content-Security-Policy的frame-ancestors指令，这是当前标准的配置方式，支持同时指定多个允许嵌入的IP、域名或其他来源。

配置示例

替换你原来的两行Header指令，改成以下配置（把ip和domain-name替换成实际地址，比如192.168.1.100或https://your-domain.com）：

# 允许指定IP和域名嵌入你的页面
Header always set Content-Security-Policy "frame-ancestors ip domain-name;"

如果要允许所有来源嵌入（不推荐，除非业务必要）：

Header always set Content-Security-Policy "frame-ancestors *;"

如果只允许自身域名嵌入：

Header always set Content-Security-Policy "frame-ancestors 'self';"

后续操作 #

1. 保存Apache配置文件（通常在/etc/apache2/sites-available/下的站点配置文件，或/etc/apache2/apache2.conf）。
2. 重启Apache服务使配置生效：

sudo systemctl restart apache2

3. 刷新页面，检查开发者工具控制台，原来的错误提示应消失，同时确认响应头中正确出现Content-Security-Policy字段。

兼容旧浏览器（可选） #

如果需要兼容极少数仍依赖X-Frame-Options的旧浏览器，可额外添加一行兼容配置（但核心仍以frame-ancestors为主）：

Header always set X-Frame-Options "SAMEORIGIN"

内容的提问来源于stack exchange，提问作者ambroiselebs