标题说明了一切。
想象一下：
<!DOCTYPE html>
<html>
<head>
</head>
<body>
<iframe style="display:none" name="xxx"></iframe>
<form method='POST' action='http://MYPAGE.com/account/' target="xxx" id="xxx">
<input type='hidden' name='xxxxxxx' value='yyyyyyyy'>
<input type='submit' value='submit'>
</form>
<script>document.getElementById("xxx").submit()</script>
</body>
如何禁用这样的攻击？
使用X-Frame-Options并将其设置为DENY或SAMEORIGIN。DENY将完全拒绝任何人在iFrame中构建页面，而SAMEORIGIN只允许相同的派生在iFrame中显示页面。有关更多信息，请参见https://coderwall.com/p/kdv1hw。