因為oauth/authorize響應頭包含X-Frame-Options: DENY
解決方案：
openresty nginx 移除該屬性,經測試生效

more_clear_headers X-Frame-Options;

====打印日誌，發現沒有了該屬性；
set $resp_header "";
header_filter_by_lua ‘
local h = ngx.resp.get_headers()
for k, v in pairs(h) do
ngx.var.resp_header=ngx.var.resp_header..k..": "..v

log_format main ‘"$resp_header"‘;

引用：

現代瀏覽器在HTTP的header中加入了X-Frame-Options選項，瀏覽器可以根據這個選項來決定某個資源是否允許通過frame或iframe嵌套到別的網站中。
如果響應頭中將其值設置為了SAMEORIGIN，則告訴瀏覽器該資源僅允許被嵌套在同源網站，如果值為DENY，則在任何位置的嵌套都是不允許的。

oauth X-Frame-Options 跳轉授權頁面時，302重定向禁用iframe