点击劫持是什么及防范方法

点击劫持是一种隐蔽性强、危害巨大的UI层视觉欺骗攻击——攻击者通过透明iframe将你的已登录敏感页面（如转账、改密页）悄然覆盖在诱饵按钮之下，用户毫无察觉地完成高危操作；它并非代码缺陷，而是利用浏览器嵌入机制的设计盲区，因此防范核心在于从源头阻断页面被非法嵌入，而非修补前端逻辑；当前最有效、标准化的防御方案是采用CSP的frame-ancestors指令（如'none'或'self'），彻底取代已过时且功能受限的X-Frame-Options，同时必须针对高风险页面（如支付、授权页）实施精细化策略配置，辅以简单可靠的本地测试方法快速验证防护是否生效。

点击劫持不是代码写错导致的报错，而是一种**UI层的视觉欺骗攻击**：攻击者用透明