Spring Security 如何防止点击劫持
在当今复杂的网络环境中，安全成为了每一个应用程序不可或缺的一部分。点击劫持（Clickjacking）作为一种隐蔽的网络攻击手段，对用户的信息安全构成了严重威胁。本文将深入探讨点击劫持的基本概念、其工作原理，并详细介绍在 Spring Security 框架中如何有效防御这一安全威胁。
一 点击劫持简介
点击劫持是一种界面欺骗技术，攻击者通过隐藏真实的网页元素，诱使用户在不知情的情况下点击页面上的特定区域。这种点击可能触发恶意操作，如信息泄露、资金转账或权限授予等。攻击者利用 HTML 的 iframe、透明层等技术，将恶意界面叠加在合法网站之上，使得用户看似在与正常界面交互，实则执行了攻击者预设的操作。
二 工作原理
- 界面覆盖：攻击者创建一个透明层或与目标网站设计相似的界面，通过 CSS 设置使其完全覆盖在目标网页之上。
- 诱导点击：在透明层或伪装界面上设置按钮或链接，引导用户点击。这些元素通常与目标网站的内容相融合，难以察觉。
- 恶意操作：用户的点击实际上激活了隐藏在背后的恶意功能，如提交表单、执行脚本或导航到恶意网站。
三 Spring Security 防御策略
Spring Security 作为 Java 应用中最受欢迎的安全框架之一，提供了多种安全特性来防御包括点击劫持在内的多种安全威胁。主要通过实施 Content Security Policy（CSP）和使用 X-Frame-Options 头部来防止点击劫持。
3.1 X-Frame-Options
这是最早被广泛采用的防御点击劫持的策略。Spring Security允许开发者通过配置轻松启用此头部：
1 | http.headers().frameOptions().sameOrigin(); // 或 deny() |
sameOrigin策略表示页面只能在同源的iframe中加载，有效阻止了跨域的点击劫持攻击。deny则完全禁止页面在任何iframe中显示，是最严格的策略，但可能会限制一些合法的嵌套框架使用场景。
3.2 Content Security Policy (CSP)
随着 Web 安全标准的发展，Content Security Policy 成为了一种更全面的安全策略，不仅能够防御点击劫持，还能对抗跨站脚本(XSS)等多种攻击。Spring Security 支持配置 CSP 以细化资源加载规则：
1 | http.headers().contentSecurityPolicy("default-src 'self'; frame-ancestors 'none';"); |
这段配置指示浏览器只从自身源加载默认资源，并且不允许任何祖先框架，从而有效防止页面被嵌入到其他页面中进行点击劫持。
四 结语
点击劫持是一种需要高度重视的网络安全风险，它利用用户界面的漏洞，悄无声息地窃取用户数据或执行恶意操作。通过 Spring Security 提供的 X-Frame-Options 和 Content Security Policy 等机制，开发者可以有效地提升应用程序的安全性，保护用户免受点击劫持的侵害。然而，安全是一个持续的过程，开发者应定期审查并更新安全策略，以应对不断演变的威胁。
如果小伙伴们想要彻底掌握 Spring Security+OAuth2，那么可以看看松哥最近录制的这套全新的视频教程：
基本上把 Spring Security 的方方面面以及 OAuth2 都讲到了。最重要的是，贴合了很多小伙伴们日常常见的开发场景，比如短信验证码登录、JWT+Redis 登录、微信 OAuth2 登录等等都有讲到。
这套视频是基于目前最新版的 Spring Security6 录制的，Spring Security6 在 API 层面的变化还是蛮大的，引入了大量的 Lambda 表达式去简化配置，很多旧版的写法在 Spring Security6 中被废弃，并在将来在 Spring Security7 中会移除相关的 API，所以说最近的 Spring Security 更新还是蛮激进的。
另一方面就是这套视频包含了全新的基于目前最新版 Spring Security 录制的 OAuth2 教程，松哥在 2020 年的时候出过图文版的 OAuth2 教程，但是，现在新版的 OAuth2 也有很多变化，不仅仅是 API 层面的变化，授权模式也发生了一些变化，传统的密码模式、简化模式现在都不再推荐，转而引入了 PKCE 模式，并且利用 OIDC 简化用户信息获取。同时，在 2020 年还处于萌芽状态的 Spring Security OAuth2 Server 这个项目，目前也趋于成熟，也可以直接使用了，这些松哥都在视频中和大家做了详细介绍。在 OAuth2 环节我也和大家分享了如何使用微信的 OAuth2 登录。
总之这一套教程，让大家彻底理解系统的安全管理。
之前有小伙伴说我直接自己写过滤器，既灵活还简单。我并不反对这种做法，但是有一个前提就是你很牛，你自己写的过滤器有考虑到计时攻击，有考虑到 XSS 攻击，有考虑到点击劫持，有考虑跨站请求伪造。。。等等太多了。当然，这些问题如果你都没有考虑到，那么 Spring Security 都有帮你考虑到并提供解决方案！
理解了 Spring Security，再去看市面上其他的安全管理框架，都会豁然开朗。
不同于松哥之前其他教程的交付方式，这套教程使用微信群答疑并且不再使用一机一码绑定设备播放，小伙伴们可以在任意设备上登录自己的账号就可以学习了，很便捷。
下面是两个试看视频：
这套视频是付费的，¥499，有需要的小伙伴加微信备注 499。
松哥在 2021 年出版了《深入浅出 Spring Security》（清华大学出版社，2021），所以这套视频教程绝对够专业。
