[6] クリックジャッキングは、 Webページ上の表示などを巧妙に仕組んで利用者に意図せぬクリックをさせる技法です。クリックジャッキングへの対策の欠如はWebアプリケーションの脆弱性と考えられています。

クリックジャッキング対策

X-Frame-Options:
CSP

[2] 歴史的には

<script>
if (window.top !== window.self) window.top.location.href = location.href;
</script>

... のようなスクリプトが使われることもありました。しかし GET 以外では機能しませんし、この部分が実行されるまでは対策が有効になりません。

クリックジャッキングへの言及

[1] RFC 5849 - The OAuth 1.0 Protocol (2014-12-28 14:19:21 +09:00 版) http://tools.ietf.org/html/rfc5849#section-4.14
[3] RFC 6749 - The OAuth 2.0 Authorization Framework (2014-12-15 14:15:35 +09:00 版) http://tools.ietf.org/html/rfc6749#section-10.13
[4] RFC 6819 - OAuth 2.0 Threat Model and Security Considerations (2015-02-10 06:43:00 +09:00 版) http://tools.ietf.org/html/rfc6819#section-4.4.1.9

[5] Fwd: Intent To Implement: UI Security / "IronFrame" (Dan Kaminsky 著, 2015-10-15 12:00:30 +09:00 版) https://lists.w3.org/Archives/Public/public-webappsec/2015Oct/0069.html