你在自己电脑打开一个陌生网站，发现里面完整显示着你的网站内容——导航、文章、联系方式一模一样。这不是幻觉，是别人把你网站用iframe嵌套在他的页面里，伪装成他的站。加几个安全响应头就能防住这种事。
什么是安全响应头
服务器返回网页的时候，可以带几个HTTP头信息，告诉浏览器一些安全规则。这些头不影响正常访问，但能挡住常见攻击。
最重要的几个：
X-Frame-Options: SAMEORIGIN——只允许自己的域名嵌套自己的页面。别人网站iframe你，浏览器直接拒绝显示。
X-XSS-Protection: 1; mode=block——开启浏览器自带的XSS过滤。
X-Content-Type-Options: nosniff——别让浏览器自动猜测文件类型，防止伪装成图片的脚本被执行。
怎么加
宝塔面板里，网站设置→配置文件，在server块或者location块里加几行：
add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection 1; mode=block;
add_header X-Content-Type-Options nosniff;
保存，重载Nginx。一行代码不用写，复制粘贴就行。
或者用安全插件，大部分安全插件一键开启这些头。
验证
打开在线安全头检测网站，输入你的域名，看是不是都显示绿色通过。
这几个头不影响网站正常访问，但防住了点击劫持、XSS等常见攻击。免费的安全措施，加上不吃亏。
