這是一種跨網站攻擊的手法
除了
X-Frame-Options: DENY 外
用 java script
if(window.location != top.location){
top.location = window.location
}
也可以解決