Clickjacking: CSP frame-ancestors missing

Clickjacking（点击劫持）是一种安全漏洞攻击手段，攻击者通过在看似无害的网页中嵌入恶意的透明层，诱使用户在不知情的情况下点击隐藏的按钮或链接，从而实现恶意操作。这种情况下的点击操作对于用户来说是“看不见”的，因为它们被设计为透明层上的按钮或链接所覆盖。

为防止Clickjacking攻击，可以使用内容安全策略（Content Security Policy，CSP）中的frame-ancestors指令。CSP frame-ancestors指令可以指定哪些外部域可以嵌入当前页面，从而阻止不信任的站点进行嵌入。如果CSP header中缺少frame-ancestors指令，那么该页面就容易受到Clickjacking攻击。

使用CSP frame-ancestors指令的正确方法是在服务器发送的HTTP响应头中包含如下指令：

Content-Security-Policy: frame-ancestors 'none';

或者指定特定的允许列表：

Content-Security-Policy: frame-ancestors 'self' example.com;

这样，只有在指令中明确允许的域可以将页面嵌入到iframe中，从而有效减少遭受Clickjacking攻击的风险。