用户在第三方页面里看到伪装成按钮的框架，点击后触发了本站操作。碰到这种情况，我一般先确认改动有没有真的生效。
原因不复杂，页面允许被任意站点嵌入，且关键操作没有二次确认。
碰到「点击劫持」这类问题，我习惯先把当前配置原样备份一份，改坏了立刻换回来，不用现场推。别只看报错的最后一行，往上看几行，真正的起因通常在上面。
X-Frame-Options: SAMEORIGIN Content-Security-Policy: frame-ancestors 'self'
同类问题如果隔一段时间又出现，多半是某个定时任务或重启流程把改动冲掉了。把这次用到的命令存进笔记，比记住结论有用，换个环境还能照着走。
改完隔一天再看一次，当场正常不代表能稳住。测试环境和线上的差别，往往就在版本号和那几行被忽略的配置上。
具体做法是，设置框架来源限制；关键操作加确认；补充内容安全策略。
最后用这个标准收尾，第三方站点无法嵌入本站页面，关键操作仍然需要二次确认才能提交。