您现在的位置是：首页 > WordPress教程WordPress教程

WordPress如何防范点击劫持

WP集市 2025-08-30 【WordPress教程】 1036人已围观

点击劫持说白了就是黑客用个透明层把网页盖住了，用户以为自己点的是正常按钮，其实触发的是隐藏操作。WordPress站长得先明白这个原理——就像你隔着磨砂玻璃按电梯，实际可能启动了消防警报。
最直接的防御是给网站穿个X-Frame-Options盔甲。在WordPress根目录的.htaccess文件里塞这段代码：
```
<IfModule mod_headers.c>
Header always set X-Frame-Options "SAMEORIGIN"
</IfModule>
```
这相当于告诉浏览器：“只允许同域名下的框架嵌套”，别人想用iframe偷嵌你的后台就没戏了。
但黑客也会进化，所以得加第二道锁：Content Security Policy（CSP）。在functions.php里插这段：
```
add_action('send_headers', 'add_csp_header');
function add_csp_header() {
header("Content-Security-Policy: frame-ancestors 'self' https://trusted-site.com;");
}
```
这里玩了个思维跳跃——不仅限制域名，还能指定允许嵌套的第三方站点，比如你用的CDN或者合作平台。
别忘了WordPress本身有个安全彩蛋：用admin_init钩子强制校验框架加载权限。有些插件喜欢自建后台页面，得确保它们都戴好安全帽：
```
add_action('admin_init', 'check_frame_options');
function check_frame_options() {
if (is_admin()) {
    header('X-Frame-Options: SAMEORIGIN');
}
}
```
这招专治那些在wp-admin里开侧门的管理界面。
最后来个骚操作：用JavaScript做反劫持监听。虽然不算正统防御，但能吓退小白黑客：
```
if (top != self) {
top.location = self.location;
}
```
这段代码意思是“如果发现自己在iframe里，立刻拉着父页面同归于尽跳回原地址”。当然，现代浏览器可能已经内置这类防护，但多层缝合总比裸奔强。
其实WordPress安全是个动态过程，就像一边修自行车一边骑。关键不是绝对防御，而是让黑客觉得搞你的站不如去折腾隔壁用祖传模板的站——毕竟攻击成本高了，自然就转向更软柿子了。