点击劫持防护：仅实现X-Frame-Options是否足够？需强制添加framebusting吗？

简短来说：仅靠X-Frame-Options不足以实现全面的点击劫持防护，针对不支持该HTTP头的老旧浏览器，framebusting（framekilling）代码是必要的补充手段。

为什么X-Frame-Options存在局限性？ #

• X-Frame-Options是HTTP响应头，主流现代浏览器（Chrome、Firefox、Edge等）都能很好支持，通过DENY、SAMEORIGIN或ALLOW-FROM指令，直接阻止页面被嵌入到iframe中。但问题在于，部分非常老旧的浏览器（比如IE8之前的版本、某些过时的移动浏览器）并不支持这个头，这类环境下X-Frame-Options完全起不到防护作用。
• 即使是支持该头的浏览器，历史上也出现过少量边缘场景的绕过方法，虽然现在这类情况已经极少，但多一层防护总是更稳妥的。

为什么需要补充framebusting代码？ #

framebusting是嵌入在页面中的客户端脚本，核心逻辑是检测当前页面是否被嵌入在iframe中，若是则直接跳出iframe或阻止页面加载。比如常见的实现代码：

if (top !== self) {
    top.location.href = self.location.href;
}

• 对于不支持X-Frame-Options的老旧浏览器，这是唯一有效的客户端防护手段，能直接破坏点击劫持的攻击链。
• 它可以和HTTP头防护形成纵深防御：即便HTTP头因配置失误、浏览器兼容性问题失效，脚本层的防护仍能发挥作用，进一步降低风险。

当然，framebusting也不是绝对完美的，历史上也出现过一些绕过技巧，但对于绝大多数业务场景来说，结合X-Frame-Options和framebusting，已经能提供足够的点击劫持防护能力。

内容的提问来源于stack exchange，提问作者saurav