點擊劫持

什麼是點擊劫持 — 用透明陷阱讓你按下「看不見的按鈕」的攻擊

點擊劫持是用透明的 iframe 把自己的網站疊加到另一個網站上，誘導使用者執行非本意操作（轉帳、修改設定、同意授權）的攻擊。核心防禦是「不讓自己的網站被嵌入到他站的框架裡」＝CSP frame-ancestors 與 X-Frame-Options。