一、点击劫持的本质与运作逻辑
点击劫持（Clickjacking）的核心是 “视觉误导 + 操作劫持” 。攻击者通过技术手段将恶意操作按钮或链接隐藏在看似无害的界面元素之下，用户在点击正常内容时，实际触发的是被隐藏的恶意指令。其运作逻辑可拆解为三个步骤：
首先，攻击者创建一个包含恶意操作的页面或弹窗，例如 “授权访问通讯录”“确认支付 100 元” 等。随后，通过代码将这些恶意元素设置为全透明状态，并精准覆盖在用户可能点击的正常按钮上，如 “关闭广告”“查看详情” 等。最后，诱导用户点击被覆盖的区域，完成攻击者预设的恶意操作。整个过程中，用户看到的界面完全正常，却在毫不知情的情况下 “主动” 执行了危险指令。
二、点击劫持的常见场景与危害
点击劫持的应用场景广泛，从个人用户到企业平台都可能成为目标，其危害具有直接性和连锁性：
在移动端，恶意 APP 常通过点击劫持诱导用户授权敏感权限。例如，当用户在某款工具类 APP 中点击 “领取优惠券” 时，实际触发的是 “允许该应用发送付费短信” 的授权弹窗，导致手机被强制扣除话费。部分安卓应用还会利用点击劫持覆盖在银行 APP 的转账按钮上，篡改收款账户信息，造成用户资金损失。
在网页端，攻击者可能搭建一个看似正常的视频网站，当用户点击 “播放” 按钮时，透明的恶意元素会引导用户点击 “确认下载某软件”，而该软件实则为病毒或挖矿程序。更隐蔽的攻击是针对企业员工 —— 通过伪装成内部办公系统的钓鱼网站，利用点击劫持诱导员工点击 “确认登录”，实则窃取其企业邮箱账号与密码，进而入侵内部网络。
此外，点击劫持还可能被用于恶意刷量、强制关注账号等行为，干扰正常的网络服务秩序。对企业而言，此类攻击不仅会损害用户信任，还可能因用户投诉、监管处罚造成经济损失。
三、点击劫持实例
假设有一个页面代码如下：
<html>
<head>
<title>XXX博主主页</title>
</head>
<body>
<form action="https://www.example.com" method="get">
<input type="hidden" name="follow" value="true">
<button type="submit">关注博主</button>
</form>
</body>
</html>当用户点击“关注博主”按钮时，就会关注这个博主。bob是这个博主的粉丝，想让朋友alice也关注他，于是构造攻击页面：
<html>
<head>
<title>你中奖了</title>
<style>
div
{
z-index:2;
position:absolute;
top:0px;
left:0px;
}
iframe
{
z-index:1;
position:absolute;
top:0px;
left:0px;
height:100px;
width:100px;
opacity:0.0001;/*alice极难看见*/
}
</head>
<body>
<div>
<button>点击领奖</button>
</div>
<iframe src="example.com"></iframe>
</body>
</html>接着，bob发送信息给alice，alice点击进入了bob的恶意页面。紧接着，Alice点击了按钮“点击领奖”，发现没有反应。直到有一天，Alice发现自己莫名其妙的关注了一个博主。
四、点击劫持的防御方法
实施 X-Frame-Options 防御：在网页开发中，通过设置 HTTP 响应头的 X-Frame-Options 属性，限制网页被其他域名的框架（iframe）嵌入。例如，设置为 “SAMEORIGIN” 时，仅允许同域名的页面嵌入，可有效阻止攻击者将目标网页嵌套在恶意页面中实施点击劫持。
启用 Content-Security-Policy（CSP）：CSP 是一种更灵活的网页安全策略，开发者可通过配置 “frame-ancestors” 指令，指定允许嵌入当前网页的域名，从根源上防止网页被恶意框架劫持。
添加点击验证机制：在关键按钮（如支付、授权、登录）的点击事件中加入二次验证逻辑。例如，点击后弹出带有随机验证码的确认框，或要求用户拖动滑块完成验证，确保操作是用户的真实意图。