X-FRAME-OPTIONS 允许您保护您的网站免受其他网站的框架嵌入。 例如,X-FRAME-OPTIONS: SAMEORIGIN 只允许在相同域上的 iframe 中嵌入您的网站。这是为了防止点击劫持攻击。 但是,Content-Security-Policy 的目的完全不同。 CSP 规范指出: 内容安全策略是一种声明式策略,它使 Web 应用程序的作者(或服务器管理员)可以向客户端通知应用程序期望从中加载资源的源。 因此,它的主要目的是通过不允许浏览器从未知域加载资源(脚本等),来保护您的网站免受 XSS 攻击对用户的危害。
frame-ancestors
和X-FRAME-OPTIONS
有一些重叠,因为它们都可以防止框架注入攻击和点击劫持攻击。 - SilverlightFox