防范点击劫持必须由服务端在HTTP响应头中设置frame-ancestors或X-Frame-Options，前端JS或meta标签无效；推荐使用CSP的frame-ancestors指令，如Content-Security-Policy: frame-ancestors 'none';，并确保Nginx等配置带always参数且语法正确（含单引号和分号）。
服务端必须加 frame-ancestors 或 X-Frame-Options
Layui 是前端 UI 框架，它本身不提供防嵌套能力。所谓“Layui 限制 iframe 嵌套”，本质是误解——防点击劫持的控制点在服务端响应头，不是 JS 或 HTML 层能补救的。
常见错误现象：在 Layui 页面里写 <script>if (top !== self) top.location = self.location;</script>，或试图用 <meta http-equiv="X-Frame-Options">；这些在现代浏览器中完全无效，Chrome/Firefox/Safari 自 2015 年起已废弃 meta 支持，JS 跳转还会被跨源限制抛出 SecurityError。
- 必须由后端在 HTTP 响应头中设置
Content-Security-Policy: frame-ancestors 'none';（推荐）或X-Frame-Options: DENY - Nginx 配置要带
always参数：add_header Content-Security-Policy "frame-ancestors 'none';" always;，否则 304 或 404 响应会漏发 - 若需允许自家子域名嵌套（如 admin.example.com 嵌入 app.example.com），写成：
frame-ancestors 'self' https://admin.example.com;，注意单引号和末尾分号缺一不可 - 不要同时设
X-Frame-Options和frame-ancestors，后者优先，前者会被忽略，反而增加维护歧义
为什么不能靠 Layui 的 JS 逻辑拦截
Layui 的菜单、弹窗、iframe 加载等行为都运行在页面已加载完成之后，此时攻击者早已完成透明 iframe 叠加、CSS 定位、事件劫持——防御窗口早已关闭。
更危险的是，有人把跳转逻辑塞进 layui.use 回调或 layui.config 的 done 里，这比 DOMContentLoaded 还晚，完全失去意义。
-
window.top !== window.self判断必须在 HTML 解析早期执行（比如放在最顶部的<script></script>中），但即便如此，也无法阻止点击劫持——它只能跳转，不能阻止 iframe 渲染和事件透传 - Layui 的
iframe组件（如layer.open({type: 2})）是主动加载，和被恶意嵌套是两回事，别混淆场景 - 所谓“Layui 防嵌套插件”或“自定义模块”全是伪需求，没有服务端头策略，前端代码再复杂也形同虚设
验证是否真生效的唯一方法
别看页面能不能打开，要看攻击者能否静默加载你的页面进 iframe。
本地建一个 test.html，内容仅含：<iframe src="https://your-domain.com/xxx" width="800" height="600"></iframe>，用浏览器直接打开它。如果 iframe 显示空白、报错（如 Chrome 显示 “Refused to display … in a frame”），说明防护生效；如果正常渲染，说明配置失败。
- 打开开发者工具 → Network → 刷新敏感页（如登录页、支付页）→ 点开 HTML 响应 → 查 Response Headers 中是否有
Content-Security-Policy且包含frame-ancestors - 注意：值必须是
'none'或'self'，带单引号；写成frame-ancestors none是语法错误，浏览器直接忽略 - 检查所有可能被嵌入的路径：不仅是首页，还包括 404 页面、API 返回 HTML 的接口、静态资源目录下的 HTML 文件，漏一个就等于没防
如果必须支持合法 iframe 嵌入怎么办
比如你有后台管理页需要被 SSO 门户嵌入，或运营系统要嵌入数据看板，那就不能设 'none'，得走白名单 + 服务端校验组合策略。
- 用
frame-ancestors 'self' https://portal.company.com;，禁止泛匹配（*已被主流浏览器无视） - 配合服务端验证
Origin或Referer头（仅作辅助，不可单独依赖） - 敏感操作页（如转账确认、密码修改）仍建议强制设为
'none'，哪怕牺牲部分嵌入场景 - 若用 Nginx，可用
map指令按路径动态设置 CSP，避免全站一刀切
最常被忽略的一点：Layui 页面里的 <iframe name="xxx"></iframe> 是用于自己加载子页面的，和“被别人嵌套”毫无关系——这两个方向完全相反，混为一谈会导致策略彻底错配。
