【前端安全】点击劫持

点击挟持：

顾名思义，跟点击有关，挟持，意味着违背用户意愿做一件事情。

点击挟持，通过用户点击完成了另一个操作，用户并不知情。

通过iframe

点击劫持防御

• javascript 禁止内嵌
• X-FRAME-OPTIONS 禁止内嵌
• 其他辅助手段

1. javascript 禁止内嵌

当有 iframe内嵌时候，top 和window会不相等

if(!top.location != winodw.location) {
    top.location = window.location
}

有可能禁用了JS，此时点击劫持还是会有的。

2. X-FRAME-OPTIONS 禁止内嵌

ctx.set('X-Frame-Options', 'DENY');

3. 其他辅助手段

加验证码 来防止点击挟持 或者其他手段来增加用户的操作。