点击劫持（Clickjacking）是一种网络攻击手段，它通过欺骗用户点击网页上的某个按钮或链接，实际上却触发了一个用户没有意识到的操作。这种攻击通常发生在用户不知情的情况下，使得用户在点击一个看似无害的链接或按钮时，实际上执行了另一个恶意操作，比如访问了一个钓鱼网站、授权一个不受欢迎的权限或者执行了一个下载。
点击劫持的常见手段包括：
1. 透明层覆盖：攻击者会在用户不知情的情况下，在网页上放置一个透明的层，覆盖在用户想要点击的合法按钮或链接上。当用户点击透明层时，实际上触发的是下方的恶意链接或按钮。
2. 隐藏层诱导：攻击者将恶意链接或按钮放在用户不可见的页面部分，比如页面下方或覆盖在页面内容之上。当用户与页面内容交互时，可能会意外触发隐藏的恶意链接。
3. 欺骗性界面：攻击者通过设计欺骗性的界面，诱导用户点击错误的目标，比如伪装成关闭按钮实际上是一个提交表单的按钮。
为了防止点击劫持，可以采取以下措施：
使用现代浏览器自带的点击劫持防护功能。
在服务器端实施X-Frame-Options等HTTP响应头，限制页面被其他页面框架嵌入。
使用Content Security Policy（CSP）来限制资源加载。
对用户界面进行设计时，确保用户能够清楚地看到所有交互元素。
点击劫持是一种隐蔽且危险的攻击方式，用户在上网时应保持警惕，避免在不信任的网站上执行任何操作。
