Nginx配置X-Frame-Options出现多冲突头导致iframe无法加载怎么解决

根因说明 #

重复的DENY头并非Nginx硬编码默认值，绝大多数情况是你的上游业务服务（如Java、PHP后端应用、静态资源服务内置安全规则）主动返回了X-Frame-Options: DENY，你在Nginx层额外添加ALLOW-FROM头后就会出现双值冲突，浏览器默认取最严格的DENY策略导致嵌帧失败。

服务端修复配置 #

反向代理场景（Nginx转发请求到后端服务） #

在对应站点的location配置块中新增以下规则：

# 先隐藏上游服务返回的原有X-Frame-Options头
proxy_hide_header X-Frame-Options;
# 添加适配新旧浏览器的嵌帧许可头
# Content-Security-Policy对新浏览器兼容性更好，优先配置
add_header Content-Security-Policy "frame-ancestors http://www.允许嵌入你的站点的域名.com;";
# 兼容旧版浏览器保留ALLOW-FROM配置
add_header X-Frame-Options "ALLOW-FROM http://www.允许嵌入你的站点的域名.com";

Nginx直接托管静态资源场景 #

需要先确保Nginx已安装ngx_headers_more扩展（主流一键安装包默认已携带），然后在对应站点配置块中新增规则：

# 清除当前返回中所有已存在的X-Frame-Options头
more_clear_headers X-Frame-Options;
# 添加嵌帧许可头，规则同上
add_header Content-Security-Policy "frame-ancestors http://www.允许嵌入你的站点的域名.com;";
add_header X-Frame-Options "ALLOW-FROM http://www.允许嵌入你的站点的域名.com";

配置生效校验 #

• 配置修改完成后先执行nginx -t校验语法无错误，再执行nginx -s reload重载配置
• 执行curl -I 你的站点访问地址查看响应头，确认仅存在1个你配置的X-Frame-Options头、无额外DENY值即配置生效
• 若站点接入了CDN，需清理CDN缓存后再测试，避免旧响应头被缓存导致不生效

内容的提问来源于stack exchange，提问作者ivbtar