嵌入式支付与统一登录页面如何避免界面诱导和回调劫持？

# 核心结论

嵌入式支付与统一登录页面需要同时防御点击劫持、界面覆盖、开放重定向、回调参数篡改和授权结果错绑。正确做法是先明确哪些页面允许被哪些站点嵌入，通过 CSP 的 frame-ancestors 限制祖先来源；对登录回调地址实行服务端预注册和精确匹配；使用一次性且与浏览器会话、客户端和回调绑定的 state；授权码保持短期、一次性并绑定客户端。界面限制只能减少诱导风险，最终交易金额、收款方、授权主体和对象权限必须由服务端根据可信数据重新验证。

# 底层机制

点击劫持通常利用透明、缩放或错位的 iframe，让用户以为在操作攻击页面，实际点击了已登录的支付或账户页面。现代浏览器中应优先使用 `Co