关于X-Frame-Options和/或Content-Security-Policy: frame-ancestors的101个问题：如果打算在本地计算机上使用iframed生产网站（我可以在其上调整标题）开发应用程序，他们会不会将localhost添加到frame-ancestors中的Content-Security-Policy？ X-Frame-Options SAMEORIGIN根本不起作用吗？
答案 0 :(得分：1)
您可能希望从框架式响应中删除这些标头，这样它们就不会阻止渲染。
在本地，唯一适用的是来自localhost响应的frame-src允许你嵌入你的生产站点（根本不设置csp也可以）。