点击劫持（Clickjacking）是一种常见的网络攻击手段，攻击者通过将恶意页面隐藏在一个合法的页面之下，诱使用户在不知情的情况下点击了该页面上的某个元素，从而实现攻击目的。点击劫持攻击危害性较大，因此网站开发上需要采取一些防御措施以增强安全性。
以下是几种常见的网站防御点击劫持攻击的方法：
1. 检测和禁止iFrame
点击劫持攻击一般是通过在恶意页面中使用iFrame来实现的。网站开发者可以检测页面是否在iFrame中运行，并在需要时禁止页面被嵌套在iFrame中。可以使用javascript来检测是否被嵌套在iFrame中，并对其进行相应的处理。
if (window.top !== window.self) {
// 页面被嵌套在iFrame中，进行相应处理
// 可以选择禁止页面被嵌套在iFrame中
window.top.location = window.self.location;
}
2. X-Frame-Options
X-Frame-Options是一种HTTP响应头，用于控制页面的嵌套行为。通过设置X-Frame-Options为"sameorigin"，可以限制页面只能在相同的域名下嵌套，从而防止点击劫持攻击。
X-Frame-Options: sameorigin
3. 使用frame-busting代码
frame-busting是一种通过javascript代码来防止页面被嵌套在iFrame中的方法。通过在页面的head部分添加如下代码，可以阻止页面在iFrame中加载。
<script>
if (window.top !== window.self) {
window.top.location = window.self.location;
}
</script>
4. 添加可见标记
点击劫持攻击一般通过将恶意页面嵌套在一个透明的iFrame下，以使用户无法察觉。因此，通过在页面中添加可见标记，可以让用户意识到页面被嵌套在一个iFrame中。
<style>
body {
display: none;
}
</style>
<script>
if (window.top !== window.self) {
document.body.style.display = "block";
alert("页面正在被嵌套在一个iFrame中！");
}
</script>
5. 安全证书
通过使用HTTPS协议，并利用SSL/TLS证书来确保通信安全，可以防止点击劫持攻击者对页面进行篡改。使用已验证的HTTPS证书，可以保证页面的完整性和可信度。
综上所述，点击劫持攻击对网站安全带来了较大威胁，但开发者可以采取一些有效措施来增强网站的安全性。通过检测和禁止iFrame、使用X-Frame-Options、使用frame-busting代码、添加可见标记和使用安全证书等方法，可以有效地抵御点击劫持攻击。保护网站安全是每个网站开发者的责任，同时也需要用户提高安全意识，避免在不可信的页面上进行点击操作。
本文来自极简博客，作者：薄荷微凉，转载请注明原文链接：网站防御点击劫持攻击的方法
