点击劫持 (Clickjacking)

点击劫持把敏感页面(账号设置、OAuth 授权、支付确认等)以 iframe 嵌入恶意站点中,并通过透明度、精心设计的 CSS 叠加层、定位等手法掩饰它。用户以为在与可见页面交互,实际上点击、触摸或拖拽都被传递到隐藏的 iframe 中,从而在其已认证的会话里执行操作。变种包括光标劫持、拖放攻击和双击劫持等。防御措施需要在目标页面上实施服务器端控制:设置 X-Frame-Options 或更推荐的 Content-Security-Policy 中的 frame-ancestors 指令,对敏感操作要求用户额外确认,并使用 SameSite Cookie 限制跨上下文状态。