点击劫持（clickjacking）是一种网络攻击手段，攻击者通过隐藏恶意代码诱使用户点击。场景一中，恶意邮件的“播放”按钮实则引导至购物网站；场景二中，透明层覆盖正常按钮，误导用户点击其他内容。针对场景二，Django提供防御措施，通过响应头设置`X-Frame-Options`，如`DENY`阻止所有加载，`SAMEORIGIN`仅允许自身域名加载，或`ALLOW-FROM`指定特定域名。Django的中间件可以方便地实现这一防御功能。
clickjacking攻击：
clickjacking攻击又称作点击劫持攻击。是一种在网页中将恶意代码等隐藏在看似无害的内容（如按钮）之下，并诱使用户点击的手段。
clickjacking攻击场景：
场景一：
如用户收到一封包含一段视频的电子邮件，但其中的“播放”按钮并不会真正播放视频，而是链入一购物网站。这样当用户试图“播放视频”时，实际是被诱骗而进入了一个购物网站。
场景二：
用户进入到一个网页中，里面包含了一个非常有诱惑力的按钮A，但是这个按钮上面浮了一个透明的iframe标签，这个iframe标签加载了另外一个网页，并且他将这个网页的某个按钮和原网页中的按钮A重合，所以你在点击按钮A的时候，实际上点的是通过iframe加载的另外一个网页的按钮。比如我现在有一个百度贴吧，想要让更多的用户来关注，那么我们可以准备以下一个页面：
<!DOCTYPE html>
<html>
<meta http-equiv="Content-Type" content
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
