PHP 8.5 防点击劫持核心是设置 HTTP 响应头：优先用 CSP frame-ancestors（支持多源、更灵活），兼容方案为 X-Frame-Options（DENY 或 SAMEORIGIN），辅以 Referer 校验（不可单独依赖），禁用无效的 meta 标签和不可靠的 JavaScript Frame-Buster。
PHP 8.5 防止点击劫持，核心是通过 HTTP 响应头限制页面被嵌入 iframe 的行为。相比旧版本，PHP 8.5 对 header() 函数的调用更严格（如禁止在输出后设置头），因此必须确保安全头在任何内容输出前设置，且优先级合理。
设置 X-Frame-Options 响应头
这是兼容性最好、最直接的防护手段，所有主流浏览器均支持。
- 在 PHP 脚本最开头（绝对不能有 echo、HTML、空格或 BOM 字符）添加：
header('X-Frame-Options: DENY');—— 完全禁止嵌入；或header('X-Frame-Options: SAMEORIGIN');—— 仅允许同源 iframe 嵌入 - 注意：Apache/Nginx 若已全局配置该头，PHP 中重复设置可能被覆盖；建议统一在 PHP 层控制，便于维护
- 不要用 <meta http-equiv="X-Frame-Options">，浏览器完全忽略此写法
启用 CSP frame-ancestors 指令（推荐主用）
Content-Security-Policy 的 frame-ancestors 是 X-Frame-Options 的现代替代方案，支持多源、更灵活，且 PHP 8.5 完全兼容。
- 添加响应头：
header("Content-Security-Policy: frame-ancestors 'self';"); - 允许多个可信域名（如管理后台和嵌入白名单站点）：
header("Content-Security-Policy: frame-ancestors 'self' https://embed.example.com https://admin.company.net';"); - 若同时设置了 X-Frame-Options 和 CSP，浏览器会取两者中更严格的策略；建议逐步迁移到 CSP 并停用 X-Frame-Options，避免冗余
服务端 Referer 校验作为补充防护
适用于需兼容极老旧浏览器，或对高敏感操作（如支付确认页）做二次校验的场景。
立即学习“PHP免费学习笔记（深入）”；
- 检查请求是否来自合法来源：
if (!isset($_SERVER['HTTP_REFERER']) || parse_url($_SERVER['HTTP_REFERER'], PHP_URL_HOST) !== $_SERVER['HTTP_HOST']) { http_response_code(403); exit('Forbidden'); } - 注意：Referer 可被客户端伪造或缺失（如从书签、HTTPS→HTTP 跳转），不能单独依赖，仅作辅助
- PHP 8.5 中
parse_url()更严格，推荐使用PHP_URL_HOST提取主机名，避免协议/路径干扰
避免依赖 JavaScript Frame-Buster
纯前端跳转脚本（如 if (top !== self) top.location = self.location;）在现代浏览器中效果有限，且易被绕过（如 sandbox iframe、onbeforeunload 阻断）。
- PHP 8.5 不再推荐将其作为主要防御手段
- 若仍需保留，务必放在 <head> 最顶部，并配合 CSP 的
script-src 'self'防止恶意脚本覆盖 - 不建议使用未压缩/未混淆的简单判断逻辑，攻击者可针对性绕过
