[6] [DFN[クリックジャッキング]]は、 [[Webページ]]上の表示などを巧妙に仕組んで[[利用者]]に意図せぬ[[クリック]]をさせる技法です。
[[クリックジャッキング]]への対策の欠如は[[Webアプリケーション]]の[[脆弱性]]と考えられています。

* クリックジャッキング対策

[FIG(short list)[
- [CODE(HTTP)@en[[[X-Frame-Options:]]]]
- [[CSP]]
]FIG]

[2] 歴史的には
[PRE(javascript code)[
<script>
if (window.top !== window.self) window.top.location.href = location.href;
</script>
]PRE]
... のような[[スクリプト]]が使われることもありました。しかし [CODE(HTTP)@en[[[GET]]]]
以外では機能しませんし、この部分が実行されるまでは対策が有効になりません。

* クリックジャッキングへの言及

[REFS[
- [1] [CITE@en[RFC 5849 - The OAuth 1.0 Protocol]] ([TIME[2014-12-28 14:19:21 +09:00]] 版) <http://tools.ietf.org/html/rfc5849#section-4.14>
- [3] [CITE@en[RFC 6749 - The OAuth 2.0 Authorization Framework]] ([TIME[2014-12-15 14:15:35 +09:00]] 版) <http://tools.ietf.org/html/rfc6749#section-10.13>
- [4] [CITE@en[RFC 6819 - OAuth 2.0 Threat Model and Security Considerations]] ([TIME[2015-02-10 06:43:00 +09:00]] 版) <http://tools.ietf.org/html/rfc6819#section-4.4.1.9>
]REFS]

[5] [CITE@en[Fwd: Intent To Implement: UI Security / "IronFrame"]]
([[Dan Kaminsky]] 著, [TIME[2015-10-15 12:00:30 +09:00]] 版)
<https://lists.w3.org/Archives/Public/public-webappsec/2015Oct/0069.html>