概述

点击劫持通过隐藏/半透明 iframe 诱导用户误点。Content-Security-Policy: frame-ancestors 指定允许嵌入当前页面的来源，现代方案优于过时的 X-Frame-Options，并支持更灵活的来源匹配与子域控制。

用法与示例

禁止任何嵌入
Content-Security-Policy: frame-ancestors 'none'

仅允许同源与特定父站
Content-Security-Policy: frame-ancestors 'self' https://partner.example

迁移建议：移除 X-Frame-Options，统一使用 CSP frame-ancestors

验证与检测

• 使用浏览器开发者工具与报表端点（report-to/report-uri）观察被拒绝的嵌入尝试。
• 在受控测试页通过