分类： IE

本文针对360浏览器兼容模式因响应头X-Frame-Options导致iframe无法加载页面的问题进行排查，发现Allow-From指令不支持通配符或列表。经测试验证，通过设置Content-Security-Policy响应头为frame-ancestors并指定通配符域名，成功实现了在特定顶级域名的所有二级域名下展示内容，并限制了其他顶级域名的访问。最终方案虽在兼容模式中放弃限制，但在极速模式下满足了预期的安全展示需求。