X-Frame-Options 不阻止 iframe

要解决 "X-Frame-Options 不阻止 iframe" 的问题，可以使用以下方法：

1. 添加 "Allow-From" 值到 "X-Frame-Options" 头部：

   response.setHeader("X-Frame-Options", "ALLOW-FROM https://example.com");
   

   这将允许来自 https://example.com 的 iframe 加载你的网页。

2. 使用 "Content-Security-Policy" 头部替代 "X-Frame-Options"：

   response.setHeader("Content-Security-Policy", "frame-ancestors https://example.com");
   

   这将限制 iframe 只能在 https://example.com 加载你的网页。

3. 如果你使用的是 Apache 服务器，可以通过修改 .htaccess 文件来实现：

   Header always append X-Frame-Options "ALLOW-FROM https://example.com"
   

   或者

   Header always set Content-Security-Policy "frame-ancestors https://example.com"
   

请注意，"X-Frame-Options" 头部的值可以是 "DENY"、"SAMEORIGIN" 或 "ALLOW-FROM"。如果使用 "ALLOW-FROM"，需要指定允许加载的来源网址。而 "Content-Security-Policy" 头部则可以通过 "frame-ancestors" 指令来指定允许加载的来源网址。

确保在你的服务器上配置了适当的选项，并根据你的需求选择合适的解决方法。