前端如何防范点击劫持中的 Strokejacking 攻击？

Des.梦雅提问于 2026-03-14 20:14:22 阅读 2

安全

最近在做项目安全审计，听说了一种叫 Strokejacking 的点击劫持变种，说是攻击者通过透明覆盖层诱导用户在不知情下触发操作。我试着加了 X-Frame-Options 和 CSP 的 frame-ancestors，但不确定对这种基于 DOM 覆盖的攻击是否有效。

比如我现在有个按钮，担心被恶意页面用透明 iframe 盖住，用户以为点的是别的东西，其实触发了我的功能。我写了下面这段 CSS 试图防止元素被覆盖，但好像没啥用？是不是思路错了？

.protected-button {
  position: relative;
  z-index: 9999;
  pointer-events: auto;
}
/* 还试过加这个 */
body {
  -webkit-touch-callout: none;
  -webkit-user-select: none;
}

点击劫持

我来解答赞 1 收藏

反馈

暂无解答