经过查询发现：X-Frame-Options：值有三个： （1）DENY：表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。 （2）SAMEORIGIN：表示该页面可以在相同域名页面的 frame 中展示。 （3）ALLOW-FROM https://example.com/：表示该页面可以在指定来源的 frame 中展示。
