移动端测试时谷歌OAuth2授权页iframe嵌入报X-Frame-Options DENY错误的解决问询

• 你写在站点A PHP代码里的所有响应头，全部只对站点A自己返回的资源生效。而报错里明确提示了，拒绝被嵌入iframe的是谷歌的OAuth授权域名，这个域名的安全响应头是谷歌平台全局强制设置的，第三方根本没有修改权限。
• 谷歌的OAuth授权页从很早开始就统一配置了X-Frame-Options: DENY，从策略层面禁止所有站点把授权页嵌进自己的iframe里。你之前尝试的SAMEORIGIN、ALLOW-FROM这类配置，全是改自己站点的资源规则，对谷歌那边的配置没有任何影响，自然解决不了问题。

• 桌面端正常使用时，浏览器已经存了对应谷歌域名的第三方cookie，会自动走完静默授权流程，全程根本不会把谷歌授权页嵌到你的iframe里，所以不会触发拦截报错。
• 隐身模式、移动端真实设备上，浏览器默认拦截了第三方cookie，没法触发静默授权，页面就会走之前写的“把授权页嵌进iframe”的分支，直接撞上谷歌的X-Frame-Options拦截规则。

• 先把你加在站点A里的两行配置删掉：Access-Control-Allow-Origin: *、X-Frame-Options: SAMEORIGIN。这俩配置完全解决不了当前的报错，还可能给你自己的站点引入不必要的跨域安全风险。
• 彻底改掉用iframe嵌谷歌授权页的实现，把授权跳转逻辑调整为：点击授权按钮后，由当前顶层窗口直接跳转到谷歌OAuth授权地址，用户完成授权登录后，按照OAuth标准流程，把获取到的授权码重定向回站点A的指定回调地址，从流程上完全绕开框架嵌入的限制。
• 按照OAuth 2.0的标准补上PKCE校验逻辑，不要靠第三方cookie判断用户的授权状态，从设计上适配移动端、隐身模式下的浏览器安全策略，避免后续再触发需要嵌入授权页的异常分支。

提醒：不要尝试搭中间代理篡改谷歌授权页的响应头来绕开X-Frame-Options限制。这类操作既违反谷歌OAuth服务的使用条款，后续还会被各大浏览器的安全更新持续拦截，没有长期稳定的使用价值。

内容的提问来源于stack exchange，提问作者Champion