点击劫持

核心认识

点击劫持把目标页面嵌入透明或伪装框架，诱导用户点击敏感操作。可使用 frame-ancestors CSP 或 X-Frame-Options 限制嵌入，并为高风险操作增加确认。

学习重点

• 理解攻击成立所需的信任边界、数据流和浏览器安全机制
• 优先采用安全默认值、输出编码和最小权限，而非依赖黑名单
• 把前端防护与服务端校验、监控和应急响应组合起来

实践检查

• 能用自己的话解释“点击劫持”
• 能在最小项目中完成一次与“点击劫持”相关的验证
• 能记录常见问题、取舍依据和排查方法