WordPress有一个内置的函数来发送X-Frame-Options 标题：send_frame_options_header(). 是的used by default on the login and admin pages.

如果要始终启用它，只需将其添加到前端视图：

add_action( \'template_redirect\', \'send_frame_options_header\' );

但是…它不发送Content-Security-Policy headers. 如果你想more complete solution 并禁用任何帧，即使来自同一站点，也可以使用：

function no_frame_headers()
{
    header( "X-Frame-Options: DENY", true );
    header( "Content-Security-Policy: frame-ancestors \'none\'", true );
}

然后注册回调：

add_action( \'login_init\',        \'no_frame_headers\', 1000 );
add_action( \'admin_init\',        \'no_frame_headers\', 1000 );
add_action( \'template_redirect\', \'no_frame_headers\', 1000 );

当然，这必须进入插件。