点击劫持（Clickjacking）是一种网络攻击手段，攻击者通过将恶意网页隐藏在正常网页的下层，欺骗用户在不知情的情况下点击恶意链接或按钮，从而实现盗取用户信息、执行恶意操作等目的。
点击劫持的底层原理是利用了浏览器中的一个特性——“嵌套浏览上下文”。攻击者创建一个透明的iframe，然后将受害者的点击事件转移到这个iframe上，从而隐藏了恶意网页的真实内容，让用户误以为自己在点击正常的按钮或链接，实际上是在执行恶意操作。
点击劫持可以通过多种方式进行防御。最常见的方式是使用X-Frame-Options头来防止网页被嵌入到其他网页中。该头部告诉浏览器不要将网页嵌入到iframe中，从而防止点击劫持攻击。同时，浏览器也提供了一些其他的防御机制，如CSP等。
在Web开发中，为了防止点击劫持攻击，应该使用安全的前端框架或工具，如AngularJS、React、Vue.js等。这些工具提供了一些安全性强的特性和API，可以有效地防止点击劫持攻击。同时，开发者应该遵循安全性最佳实践，如及时更新软件、禁用不必要的插件和服务、使用HTTPS等，以保证网站的安全性。
