X-Frame-Options适用于iframe / frame /对象， 最初的主要原因是通过不允许在框架中呈现页面来提供点击劫持保护。这可以包括在框架，iframe或对象中呈现页面。
例如X-Frame-Options：allow-from https://www.example.com/
不是access-control-allow-origin正在做某事。类似吗？
访问控制允许来源：https://foo.example
这两个只是想从受信任的来源加载信息时，它们之间有何不同？
pianyuan 回答：X-Frame-Options和Access-Control-Allow-Origin是否重叠？
暂时没有好的解决方案，如果你有好的解决方案，请发邮件至：iooj@foxmail.com