防点击劫持需通过HTTP响应头实现，首选X-Frame-Options（DENY或SAMEORIGIN），升级推荐CSP的frame-ancestors指令，禁用JS防劫持脚本，同时启用X-Content-Type-Options、HSTS等配套安全头。
防点击劫持，核心是阻止你的 Symfony 页面被恶意嵌入 iframe。这不是靠前端 JS 补丁就能彻底解决的，必须从 HTTP 响应头入手，配合合理配置。
关键响应头：X-Frame-Options
这是最直接、兼容性最好的防御手段。它告诉浏览器：“这个页面不允许被嵌在 iframe 里”。
- DENY：完全禁止任何嵌套，适用于管理后台、敏感操作页（如转账、密码修改）
- SAMEORIGIN：只允许同域下的页面嵌套，适合需要内嵌自己子应用的场景（如仪表盘嵌入报表）
在 Nginx 中添加（推荐放在 server 或 location 块内）：
add_header X-Frame-Options "DENY" always;升级方案：Content-Security-Policy 的 frame-ancestors
CSP 是更现代、更灵活的替代方案，frame-ancestors 指令功能等价于 X-Frame-Options，但优先级更高，且可精确控制来源。
- 禁用所有嵌套：frame-ancestors 'none';
- 仅允许同源：frame-ancestors 'self';
- 允许多个指定域名：frame-ancestors https://trusted.example.com https://app.example.com;
在 Nginx 中合并进 CSP 头（注意不要覆盖已有策略）：
Symfony 应用层补充：避免依赖 JS 防御
不推荐使用 if (top !== self) top.location = self.location 这类 frame-busting 脚本。它们容易被绕过（如 sandbox 属性、onbeforeunload 干扰），且在现代浏览器中已基本失效。
如果你必须支持老旧环境，可作为辅助手段，但绝不能替代响应头。
别忘了配套安全头
点击劫持常与其他攻击协同发生，建议一并启用：
- X-Content-Type-Options: nosniff —— 防止 MIME 嗅探导致误解析为可执行内容
- Strict-Transport-Security —— 强制 HTTPS，防止降级后头被篡改
- Referrer-Policy: strict-origin-when-cross-origin —— 控制 Referer 泄露范围
这些头共同构成基础防护网，缺一不可。
