点击劫持是一种视觉欺骗的攻击手段。
嵌套一个iframe，然后将 iframe 设置为透明。在页面中透出一个按钮诱导用户点击。
防御方法有2种：
通过 Response Header 设置，表示哪些情况下才允许使用 iframe 展示自己
X-Frame-Options: deny
X-Frame-Options: sameorigin
X-Frame-Options: allow-from https://example.com/
deny 表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许
sameorigin 表示该页面可以在相同域名页面的 frame 中展示
allow-from uri表示该页面可以在指定来源的 frame 中展示。
2. 古老的方法
js 判断，当 top !== self 的时候，证明本页面被嵌套在 iframe了
<head> <style id="click-jack"> html { display: none !important; } </style> </head> <body> <script> if (self == top) { // 没有被嵌套，则把display none 的样式去掉 var style = document.getElementById('click-jack') document.body.removeChild(style) } else { top.location = self.location } </script> </body>