X-Frame-Options如何在确定允许嵌套的行为时处理不同端口的不同来源？

应该在设置X-Frame-Options时考虑端口。如果使用了X-Frame-Options，但没有指定ALLOW-FROM或不能使用ALLOW-FROM，那么将使用当前请求的来源URL确定允许嵌套的行为。如果当前请求的来源包括一个端口号，则该端口与来源一起被视为唯一的。 某些浏览器可能会将不同的端口视为隔离不同的来源，因此可以使用多个ALLOW-FROM指令来覆盖不同的来源。示例代码如下：

// 仅允许来自example.com的页面在iframe中嵌入
response.setHeader('X-Frame-Options', 'SAMEORIGIN');
// 允许example.com:8080和example.com:8081的页面在iframe中嵌入
response.setHeader('X-Frame-Options', 'ALLOW-FROM https://example.com:8080');
response.setHeader('X-Frame-Options', 'ALLOW-FROM https://example.com:8081');