按钮本身有权限校验，仍不代表用户一定看清了自己点击的页面。针对基于框架嵌入的点击劫持，可以通过响应头限制哪些页面有权把当前网页装进iframe。
先确定是否确实需要被嵌入
CSP的frame-ancestors用于控制嵌入当前页面的来源。none表示不允许，self允许同源；若存在合法合作方，需要按实际需求列出范围。不要直接将最宽松配置复制到所有业务页面。
配置位置必须是HTTP响应头
这一指令不能靠HTML里的meta标签生效。验收时要查看浏览器实际收到的响应，确认代理、缓存或不同路由没有遗漏。已有CSP时应合并设计并回归，避免仓促替换整个策略造成页面资源失败。
用两种入口验证
在自有测试环境中分别检查正常直接访问与不允许来源的框架嵌入；前者应可用，后者应被阻止。有授权的嵌入业务也要回归。它针对框架场景，不能据此承诺所有诱导点击都被解决，敏感动作仍需独立保护。
资料与继续学习
OWASP：点击劫持防护。资料查阅日期：2026年10月3日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年10月3日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
