前端点击劫持

点击劫持

• 用户亲手操做---盗取用户资金（转帐，消费）
• 用户不知情---获取用户敏感信息
• ....if

利用 iframe 内嵌页面，并将原页面透明度设置为零，这样实现点击劫持

点击劫持防护

• JavaScript 禁止内嵌
  • 在内嵌页面中top和window不等

if (top.loaction != window.location) {
  top.location = window.location;
}

但这种方式有时并不彻底有效，由于攻击者是能够禁止 JavaScript 脚本的

<iframe
  sandbox="allow-forms"
  style="opacity:"
  src="..."
  width="800"
  height="600"
></iframe>

H5 的 sandbox 属性就能够让攻击获得想要的结果

• X-FRAME-OPTIONS 禁止内嵌

这种方式能够有效解决上述问题

加入组织内嵌的头部，这样就能够解决上面的问题，这种方式也是防护点击劫持最有效的

ctx.set('X-Frame-Options','DENY')

• 其余辅助手段
  • 加验证码
  • 影响用体验，但能够有效预防，不能彻底预防
  • 仅仅是辅助手段，并不能根本解决