什么事X-Frame-Options 响应头

X-Frame-Options是一个HTTP响应头，用于控制网页是否允许在frame或iframe中展示。它可以帮助网站防御点击劫持攻击（Clickjacking Attack），这种攻击手法会将一个网页放在一个透明的iframe中，然后诱导用户在该网页上进行一些敏感操作，从而达到攻击者的目的。通过设置X-Frame-Options头，网站可以告诉浏览器不允许在frame或iframe中展示该网页，或者只允许同源的网页展示该页面。常见的X-Frame-Options取值包括DENY、SAMEORIGIN和ALLOW-FROM。