Nginx 配置
Nginx 配置
# 方式一：X-Frame-Options（兼容方案）
add_header X-Frame-Options "DENY" always;
# 方式二：CSP frame-ancestors（推荐，可指定来源）
add_header Content-Security-Policy "frame-ancestors 'self'" always;两个头同时存在时以 frame-ancestors 为准；按业务需要选择 DENY 或 SAMEORIGIN。
点击劫持与防框架嵌套
点击劫持把目标站点嵌入透明 iframe 诱导用户点击；防护是在响应头声明 X-Frame-Options 或 CSP 的 frame-ancestors，其中 frame-ancestors 支持更细的来源控制。
易错点
- 只在首页加头部，未覆盖表单与交互页：点击劫持通常针对具体操作页面
数据来源与参考
- OWASP Clickjacking Defense Cheat Sheet
- MDN X-Frame-Options 文档